G U I D E D E L ' A S N

I N B

Projet de guide
de l’ASN

Exigences de sûreté et
recommandations pour la
conception des
réacteurs à eau sous pression

Réalisé en partenariat avec

l’Institut de radioprotection
et de sûreté nucléaire

Projet de GUIDE Nº 22
SOUMIS A CONSULTATION DES PARTIES PRENANTES

Version du 27/07/2016
 Préambule

La collection des guides de l’ASN regroupe les documents à destination des professionnels
intéressés par la réglementation en matière de sûreté nucléaire et de radioprotection
(exploitants, utilisateurs ou transporteurs de sources de rayonnements ionisants, public,
etc.). Ces guides peuvent également être diffusés auprès des différentes parties prenantes,
telles que les Commissions locales d’information.

Chaque guide a pour objet, sous forme de recommandations :

- d’expliciter une réglementation et les droits et obligations des personnes intéressées par la
réglementation ;
- d’expliciter des objectifs réglementaires et de décrire, le cas échéant, les pratiques que
l’ASN juge satisfaisantes ;
- de donner des éléments d’ordre pratique et des renseignements utiles sur la sûreté
nucléaire et la radioprotection.

Le présent guide a été développé conjointement par l’ASN et l’Institut de radioprotection

et de sûreté nucléaire (IRSN) et présente les recommandations concernant les exigences de
sûreté pour la conception des REP.

Il tient notamment compte des exigences de sûreté pour la conception des réacteurs issues
des publications de l’Agence internationale de l’énergie atomique (AIEA) et des niveaux
de référence, objectifs de sûreté ou recommandations publiés par l’association des chefs
d’autorités de sûreté nucléaire européennes (WENRA).
 Sommaire

I INTRODUCTION 7
I.1 CONTEXTE ET REFERENCES REGLEMENTAIRES 7
I.2 OBJET DU GUIDE 8
I.3 CHAMP D’APPLICATION DU GUIDE 9
I.4 STATUT DU GUIDE 10
I.5 STRUCTURE DU GUIDE 10
I.6 DEFINITIONS 11
II OBJECTIFS ET PRINCIPES GENERAUX DE CONCEPTION 12
II.1 OBJECTIFS GENERAUX 12
II.1.1 FONCTIONNEMENT NORMAL DE L’INSTALLATION 12
II.1.2 INCIDENTS ET ACCIDENTS SUSCEPTIBLES DE SURVENIR 13
II.2 PRINCIPES GENERAUX DE CONCEPTION 15
II.2.1 DEFENSE EN PROFONDEUR 15
II.2.2 BARRIERES 16
II.2.3 FONCTIONS PERMETTANT LA PREVENTION DES INCIDENTS OU ACCIDENTS OU LA LIMITATION DE LEURS
CONSEQUENCES 17
II.2.4 DEMONSTRATION DE SURETE NUCLEAIRE - APPROCHE GENERALE 18

III DEMARCHE GENERALE DE CONCEPTION 19

III.1 IDENTIFICATION DES EVENEMENTS POUVANT AFFECTER LA SURETE NUCLEAIRE DE
L’INSTALLATION 19
III.2 DEMONSTRATION DE SURETE NUCLEAIRE 19
III.3 DOMAINE DE CONCEPTION DE REFERENCE 22
III.3.1 CONDITIONS DE FONCTIONNEMENT DE REFERENCE 22
III.3.1.1 Evénements pris en compte et catégorisation au titre des conditions de fonctionnement de
référence 22
III.3.1.2 Objectifs et exigences de sûreté associés aux conditions de fonctionnement de référence 23
III.3.1.3 Critères techniques d’acceptation associés aux conditions de fonctionnement de référence 25
III.3.1.4 Règles d’étude des conditions de fonctionnement de référence 26
III.3.1.5 Evaluation des conséquences radiologiques des conditions de fonctionnement de référence 28
III.3.2 AGRESSIONS INTERNES DE REFERENCE (HORS ACTES DE MALVEILLANCE) 30
III.3.2.1 Objectifs de sûreté et principes de conception associés aux agressions internes de référence 30
III.3.2.2 Événements pris en compte au titre des agressions internes de référence 31
III.3.2.3 Règles d’études des agressions internes de référence 32
III.3.2.4 Evaluation des conséquences radiologiques des agressions internes de référence 33
III.3.3 AGRESSIONS EXTERNES DE REFERENCE (HORS ACTES DE MALVEILLANCE) 33
III.3.3.1 Objectifs de sûreté et principes de conception associés aux agressions externes de référence 33
III.3.3.2 Evénements pris en compte au titre des agressions externes de référence et caractérisation 34
III.3.3.3 Règles d’étude des agressions externes de référence 37
III.3.3.4 Evaluation des conséquences radiologiques des agressions externes de référence 38
 III.4 DOMAINE DE CONCEPTION ETENDU 39
III.4.1 ÉVENEMENTS PRIS EN COMPTE DANS LE DOMAINE DE CONCEPTION ETENDU ET OBJECTIFS 39
III.4.2 EXIGENCES ASSOCIEES AUX CONDITIONS DEC-A ET DEC-B 40
III.4.3 CRITERES TECHNIQUES D’ACCEPTATION ASSOCIES AU DOMAINE DE CONCEPTION ETENDU 41
III.4.4 REGLES D’ETUDE DANS LE DOMAINE DE CONCEPTION ETENDU 41
III.4.5 ÉVALUATION DES CONSEQUENCES RADIOLOGIQUES DANS LE DOMAINE DE CONCEPTION ETENDU 41
III.4.6 AGRESSIONS EXTERNES NATURELLES 42
III.5 AGRESSIONS CONSTITUEES PAR DES ACTES DE MALVEILLANCE 43
III.6 UTILISATION DES ETUDES PROBABILISTES DE SURETE 43
III.7 PRINCIPES IMPOSES AU DEVELOPPEMENT DE METHODES D’ETUDES 45
IV EXIGENCES ET RECOMMANDATIONS GENERALES DE CONCEPTION 46
IV.1 ARCHITECTURE DES FONCTIONS DE SURETE RADIOLOGIQUES 46
IV.1.1 GENERALITES 46
IV.1.2 INDEPENDANCE ENTRE EIP 47
IV.1.3 AUTONOMIE DE L’INSTALLATION 48
IV.1.4 SYSTEMES IP COMMUNS A PLUSIEURS INB OU A UN REACTEUR ET A UNE PISCINE D’ENTREPOSAGE DES
ASSEMBLAGES DE COMBUSTIBLE 48
IV.2 CONCEPTION DES EIP 49
IV.2.1 CATEGORISATION DES FONCTIONS DE SURETE RADIOLOGIQUES ET DETERMINATION DES EXIGENCES
DES EIP CLASSES 49
IV.2.2 FIABILITE DES EIP ET DES SYSTEMES IP 50
IV.2.3 CRITERE DE DEFAILLANCE UNIQUE 51
IV.2.4 QUALIFICATION DES EIP 52
IV.2.5 PRISE EN COMPTE A LA CONCEPTION DES EIP DES NECESSITES DE SUIVI EN SERVICE ET DES
CONTRAINTES RELATIVES A LEUR VIEILLISSEMENT 52
IV.2.6 PRISE EN COMPTE A LA CONCEPTION DES EXIGENCES RELATIVES AU DEMANTELEMENT ET A LA REMISE
EN ETAT DU SITE 53
IV.3 PRISE EN COMPTE DES DIMENSIONS ORGANISATIONNELLES ET HUMAINES DANS LA
CONCEPTION DU SYSTEME SOCIOTECHNIQUE 54
IV.4 RADIOPROTECTION A LA CONCEPTION 57
V EXIGENCES ET RECOMMANDATIONS SPECIFIQUES DE CONCEPTION DES
BARRIERES 60
V.1 CŒUR DU REACTEUR ET DISPOSITIFS ASSOCIES 60
V.2 CIRCUITS PRIMAIRE ET SECONDAIRES 62
V.2.1 EXIGENCES GENERALES DE CONCEPTION 62
V.2.2 PROTECTION CONTRE LES SURPRESSIONS 62
V.2.3 COMPOSANTS « NON RUPTIBLES » 63
V.2.4 AUTRES CONSIDERATIONS SUR LE CPP ET LES CIRCUITS CONNECTES 64
V.2.5 AUTRES CONSIDERATIONS SUR LES CSP 65
V.3 3EME BARRIERE 66

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P4/ 97 -
 V.3.1 PRINCIPES GENERAUX DE CONCEPTION 66
V.3.2 TRAVERSEES ET OUVERTURES DE L’ENCEINTE DE CONFINEMENT 67

VI EXIGENCES ET RECOMMANDATIONS SPECIFIQUES A DES FONCTIONS DE

SURETE RADIOLOGIQUES 69
VI.1 MAITRISE DES REACTIONS NUCLEAIRES EN CHAINE DANS LE CŒUR 69
VI.2 EVACUATION DE LA PUISSANCE THERMIQUE ISSUE DES SUBSTANCES RADIOACTIVES ET DES
REACTIONS NUCLEAIRES 70
VI.2.1 SYSTEMES D’EVACUATION DE LA PUISSANCE RESIDUELLE ET DE REFROIDISSEMENT DU CIRCUIT
PRIMAIRE 70
VI.2.2 SYSTEME(S) D’INJECTION D’EAU DE SECOURS DANS LE CŒUR 70
VI.2.3 DEPRESSURISATION DU CIRCUIT PRIMAIRE EN SITUATION ACCIDENTELLE 70
VI.2.4 EVACUATION DE LA PUISSANCE HORS DE L'ENCEINTE DE CONFINEMENT 71
VI.3 CONFINEMENT DES SUBSTANCES RADIOACTIVES 71
VI.3.1 CONCEPTION DES EIP ASSURANT LE CONFINEMENT DES SUBSTANCES RADIOACTIVES 71
VI.3.2 CONFINEMENT EN FONCTIONNEMENT NORMAL 72
VI.3.3 CONFINEMENT DES BATIMENTS 72
VI.3.4 SYSTEMES DE VENTILATION 73
VI.3.5 SURVEILLANCE ET ESSAIS PERIODIQUES 73

VII AUTRES EXIGENCES ET RECOMMANDATIONS SPECIFIQUES DE CONCEPTION75

VII.1 CONCEPTION DES SYSTEMES ASSURANT UNE FONCTION SUPPORT 75
VII.1.1 CONCEPTION DES SYSTEMES D’EVACUATION DE LA CHALEUR VERS LA SOURCE FROIDE ET DE LA SOURCE
FROIDE 75
VII.1.2 ALIMENTATION ELECTRIQUE 75
VII.1.2.1 Exigences générales de conception 75
VII.1.2.2 Système d’alimentation électrique normale 76
VII.1.2.3 Système d’alimentation électrique de secours 76
VII.1.3 SYSTEMES DE CONDITIONNEMENT THERMIQUE 77
VII.2 CONTROLE VOLUMETRIQUE ET CHIMIQUE DU REFRIGERANT PRIMAIRE 77
VII.3 MANUTENTION ET ENTREPOSAGE DU COMBUSTIBLE NUCLEAIRE 78
VII.3.1 MANUTENTION DES ASSEMBLAGES DE COMBUSTIBLE 78
VII.3.2 ENTREPOSAGE A SEC DES ASSEMBLAGES DE COMBUSTIBLE NEUFS 78
VII.3.3 ENTREPOSAGE SOUS EAU DU COMBUSTIBLE 79
VII.3.4 OPERATIONS D’EXPLOITATION SUR LES ASSEMBLAGES DE COMBUSTIBLE 80
VII.4 CONTROLE-COMMANDE 80
VII.4.1 REGLES DE CONCEPTION DU CONTROLE-COMMANDE 80
VII.4.2 INSTRUMENTATION 81
VII.4.3 REGULATIONS ET LIMITATIONS 82
VII.4.4 SYSTEME DE PROTECTION DU REACTEUR 82
VII.4.5 SALLES DE COMMANDE 83
VII.5 GESTION DE CRISE 84

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P5/ 97 -
 VII.6 GESTION DES EFFLUENTS ET DES DECHETS RADIOACTIFS 85
VIII DOCUMENTATION DE CONCEPTION 87

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P6/ 97 -
 I INTRODUCTION
I.1 Contexte et références réglementaires
Pour élaborer le présent guide, les textes réglementaires et para réglementaires suivants ont été pris en
compte :
 la directive 2014/87/EURATOM du Conseil du 8 juillet 2014 modifiant la directive
2009/71/Euratom établissant un cadre communautaire pour la sûreté nucléaire des installations
nucléaires ;
 le code de l’environnement, notamment :
o le chapitre III du titre IX du livre V ;
o les articles R. 557-12 et suivants relatifs aux équipements sous pression nucléaires ;
 le code de la santé publique ;
 le code du travail ;
 le décret n° 99-1046 du 13 décembre 1999 relatif aux équipements sous pression ;
 le décret n° 2007-1557 du 2 novembre 2007 modifié relatif aux installations nucléaires de base
et au contrôle, en matière de sûreté nucléaire, du transport de substances radioactives ;
 l’arrêté du 10 novembre 1999 modifié relatif à la surveillance de l’exploitation du circuit
primaire principal et des circuits secondaires principaux des réacteurs nucléaires à eau sous
pression ;
 l’arrêté du 12 décembre 2005 modifié relatif aux équipements sous pression nucléaires ;
 l’arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires
de base ;
 la décision n° 2014-DC-0462 de l’Autorité de sûreté nucléaire du 7 octobre 2014 relative à la
maîtrise du risque de criticité dans les installations nucléaires de base ;
 la décision n° 2014-DC-0417 de l’ASN du 28 janvier 2014 relative aux règles applicables aux
installations nucléaires de base (INB) pour la maîtrise des risques liés à l’incendie ;
 la décision n° 2015-DC-532 de l’ASN du 17 novembre 2015 relative au rapport de sûreté des
installations nucléaires de base ;
 les directives techniques (DT) pour la conception et la construction de la prochaine génération
de réacteurs nucléaires à eau sous pression, adoptées pendant les réunions plénières du groupe
permanent réacteur et des experts allemands les 19 et 26 octobre 2000 ;
 les règles fondamentales de sûreté (RFS) et guides relatifs aux réacteurs à eau sous pression
(REP), publiés par l’ASN (cf. annexe 3).

Par ailleurs, les objectifs de sûreté pour les nouveaux réacteurs1 et les niveaux de référence publiés par
l’association des chefs d’autorités de sûreté nucléaire européennes WENRA (Western European
Nuclear Regulators Association)2 ainsi que les normes de sûreté AIEA (SSR-2/1 notamment3) ont été
pris en compte.

1 « WENRA statement on safety objectives for new nuclear power plans », publié en novembre 2010
« WENRA-RHWG report - Safety of new NPP designs », publié en août 2013
2 « Report WENRA Safety Reference Levels for Existing Reactors », publié en septembre 2014

3 « Safety of nuclear power plants: design », Specific Safety Requirements IAEA, n° SSR-2/1, première révision publiée en février

2016

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P7/ 97 -
 I.2 Objet du guide
Le présent guide présente les recommandations de l’ASN et de l’IRSN pour la conception des réacteurs
à eau sous pression (REP). Il est destiné à l’exploitant ou futur exploitant d’un REP en France,
responsable de la maîtrise des risques et inconvénients
que l’installation peut présenter conformément à Article L.593-6 du code de l’environnement
l’article L. 593-6 du code de l’environnement, mais L'exploitant d'une installation nucléaire de base
également aux rédacteurs de cahiers de charges et est responsable de la maîtrise des risques et des
concepteurs de telles installations, sans préjudice des inconvénients que son installation peut présenter.
responsabilités des fabricants d’ESPN prévues par la
règlementation.

Ce guide rappelle les exigences de sûreté nucléaire issues de la réglementation nationale à prendre en
compte à la conception et présente des recommandations qui permettent de respecter ces exigences ou
de les compléter, tant sur des aspects techniques que sur les facteurs organisationnels et humains
pertinents, participant à la sûreté nucléaire des réacteurs à eau sous pression et permettant de prévenir4
les incidents ou les accidents et d’en limiter les effets, pour la protection des intérêts mentionnés au
premier alinéa de l’article L. 593-1 du code de l’environnement.

Article L.593-1 du code de l’environnement

Les installations nucléaires de base énumérées à l'article L. 593-2 sont soumises au régime légal défini par les
dispositions du présent chapitre et du chapitre VI du présent titre en raison des risques ou inconvénients
qu'elles peuvent présenter pour la sécurité, la santé et la salubrité publiques ou la protection de la nature et de
l'environnement.

Article L.593-42 du code de l’environnement

Les règles générales, prescriptions et mesures prises en application du présent chapitre et des chapitres V et
VI pour la protection de la santé publique, lorsqu'elles concernent la radioprotection des travailleurs, portent
sur les mesures de protection collectives qui relèvent de la responsabilité de l'exploitant et de nature à assurer
le respect des principes de radioprotection définis à l' article L. 1333-2 du code de la santé publique .
Elles s'appliquent aux phases de conception, d'exploitation et de démantèlement de l'installation et sont sans
préjudice des obligations incombant à l'employeur en application des articles L. 4121-1 et suivants du code du
travail.

Ce guide tient compte de l’expérience tirée de l’examen de dossiers techniques soumis par les
industriels français à l’ASN, ayant mis en lumière la bonne adéquation de certaines pratiques au regard
des objectifs visés. Il sera mis à jour régulièrement afin de tenir compte de l’évolution des
connaissances, du retour d’expérience (tant de son application sur des exemples concrets que de
l’exploitation des installations), de recommandations émises par des organismes internationaux ou de
nouvelles pratiques. Afin de tenir compte de telles évolutions, l’ASN pourra émettre des
recommandations complémentaires – voire alternatives – en anticipation de la prochaine révision du
guide.

4 Dans la suite du guide, il faut comprendre « prévenir » ou « prévention » comme la recherche de dispositions visant à éviter
un événement ou une situation, sans garantie d’y parvenir.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P8/ 97 -
 I.3 Champ d’application du guide
Le présent guide s’applique aux REP. Il se focalise sur la prévention et la limitation des conséquences
des incidents et des accidents de nature radiologique sachant que d’autres aspects (liés à la gestion des
risques de nature non-radiologique ou aux inconvénients qui résulteront de l’exploitation courante de
l’installation, radioprotection) sont à considérer pour la conception des REP.

Ayant pour champ d’application premier la Article L. 593-18 du code de l’environnement

conception des nouveaux REP, il pourra L'exploitant d'une installation nucléaire de base procède
également être utilisé pour la recherche périodiquement au réexamen de son installation en prenant
d’améliorations à apporter aux réacteurs en compte les meilleures pratiques internationales.
existants, par exemple à l’occasion de leurs Ce réexamen doit permettre d'apprécier la situation de
réexamens de sûreté, conformément à l’article l'installation au regard des règles qui lui sont applicables et
L. 593-18 du code de l’environnement et aux d'actualiser l'appréciation des risques ou inconvénients que
articles 8 bis et quater introduits par la l'installation présente pour les intérêts mentionnés à l'article
L. 593-1, en tenant compte notamment de l'état de
directive 2014/87/EURATOM du conseil du l'installation, de l'expérience acquise au cours de
8 juillet 2014 modifiant la directive l'exploitation, de l'évolution des connaissances et des règles
2009/71/Euratom établissant un cadre applicables aux installations similaires.
communautaire pour la sûreté nucléaire des
installations nucléaires.

Directive 2014/87/EURATOM du Conseil du 8 juillet 2014 modifiant la directive 2009/71/Euratom établissant

un cadre communautaire pour la sûreté nucléaire des installations nucléaires
Article 8 bis
Objectif de sûreté nucléaire pour les installations nucléaires
1. Les États membres veillent à ce que le cadre national en matière de sûreté nucléaire exige que les
installations nucléaires soient conçues, situées, construites, mises en service, exploitées et déclassées avec
l'objectif de prévenir les accidents et, en cas de survenance d'un accident, d'en atténuer les conséquences et
d'éviter :
a. les rejets radioactifs précoces qui imposeraient des mesures d'urgence hors site mais sans qu'il y ait
assez de temps pour les mettre en œuvre ;
b. les rejets radioactifs de grande ampleur qui imposeraient des mesures de protection qui ne
pourraient pas être limitées dans l'espace ou dans le temps.
2. Les États membres veillent à ce que le cadre national exige que l'objectif énoncé au paragraphe 1 :
a. s'applique aux installations nucléaires pour lesquelles une autorisation de construire est octroyée
pour la première fois après le 14 août 2014 ;
b. soit utilisé comme une référence pour la mise en œuvre en temps voulu de mesures d'amélioration
raisonnablement possibles dans une installation nucléaire existante, y compris dans le cadre des
examens périodiques de sûreté définis à l'article 8 quater, point b).
Article 8 quater
Évaluation initiale et examens périodiques de la sûreté
Les États membres veillent à ce que le cadre national exige que :
a. …
b. le titulaire d'une autorisation sous le contrôle réglementaire de l'autorité de réglementation compétente
réévalue systématiquement et régulièrement, au moins tous les dix ans, la sûreté de l'installation nucléaire ...
Cette réévaluation de la sûreté …recense les nouvelles améliorations à apporter en matière de sûreté par la
prise en compte … des résultats les plus récents de la recherche et de l'évolution des normes internationales, en
prenant comme référence l'objectif énoncé à l'article 8 bis.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P9/ 97 -
Ce guide pourra également être utilisé avec discernement pour la conception d’autres modèles de
réacteurs.

I.4 Statut du guide

A la date de parution du guide, celui-ci se substitue aux DT pour les REP dont le décret d’autorisation
de création n’a pas été délivré.

Pour toute recommandation formulée dans le guide, il est possible de s’en écarter si la preuve est
apportée que les objectifs visés par la recommandation sont atteints par d’autres moyens. En l’absence
de recommandation sur un sujet spécifique, l’acceptabilité de la proposition de l’exploitant pour un
projet donné sera évaluée dans le cadre de l’examen du dossier relatif à ce projet.

Ce guide fait l’objet d’une consultation auprès des parties prenantes, dont les exploitants d’installations
nucléaire de base, initiée en xxxx et pour une durée de 1 mois. Ce guide présente donc un caractère
provisoire.

I.5 Structure du guide

Le guide est structuré en 8 parties :
1) la présente partie I constitue l’introduction du guide ; elle comporte également les définitions
spécifiques pour le guide ;
2) la partie II présente les objectifs et principes généraux de conception ;
3) la partie III porte sur la démarche générale de conception ;
4) la partie IV traite des exigences générales de conception ;
5) la partie V traite d’exigences spécifiques de conception des barrières ;
6) la partie VI traite d’exigences spécifiques à certaines fonctions de sûreté radiologiques ;
7) la partie VII énonce d’autres exigences spécifiques de conception ;
8) la partie VIII porte sur la documentation de conception.

Il comporte en outre trois annexes :

 Annexe 1 : définitions
 Annexe 2 : correspondance avec la terminologie utilisée dans les textes internationaux (AIEA,
WENRA)
 Annexe 3 : RFS et guides de l’ASN applicables à la date de parution du présent document

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P10/ 97 -
 I.6 Définitions
1.6.1 Les termes « sûreté nucléaire » et
Article L.591-1 du code de l’environnement
« radioprotection » ont le sens fixé à
La sûreté nucléaire est l'ensemble des dispositions
l’article L.591-1 du code de l’environnement. techniques et des mesures d'organisation relatives à la
Les définitions correspondantes sont conception, à la construction, au fonctionnement, à l'arrêt et
reproduites en annexe 1 du présent guide ; au démantèlement des installations nucléaires de base ainsi
ainsi la sûreté nucléaire couvre la prévention qu'au transport des substances radioactives, prises en vue
et la limitation des conséquences des accidents de prévenir les accidents ou d'en limiter les effets.
qu’ils soient de nature radiologique ou non.
La radioprotection est la protection contre les
Comme indiqué au chapitre I.3, les rayonnements ionisants, c'est-à-dire l'ensemble des règles,
recommandations du présent guide se des procédures et des moyens de prévention et de
focalisent sur la prévention et la limitation des surveillance visant à empêcher ou à réduire les effets nocifs
conséquences des accidents de nature des rayonnements ionisants produits sur les personnes,
radiologique. directement ou indirectement, y compris par les atteintes
portées à l'environnement.

Le terme « effet falaise » a le sens fixé par le Journal Officiel de la République française du 31 mai 2012. La
définition correspondante est reproduite en annexe 1 du présent guide.

Les termes « activité importante pour la protection », « agression interne, agression externe », « défaillance interne »,
« démonstration de sûreté nucléaire », « effluent », « effluent radioactif », « élément important pour la protection »,
« événement déclencheur », « exigence définie », « exploitant », « facteurs organisationnels et humains », « fonctionnement
normal », « incident ou accident », , « situation d’urgence », « substance dangereuse », « zone à production possible de
déchets nucléaires » ont le sens fixé à l’article 1er.3 de l’arrêté du 7 février 2012. Les définitions
correspondantes sont reproduites en annexe 1 du présent guide.

Les termes suivants « cœur », « conservatif, ive », « criticité », « réactivité » et « sous-critique » sont ceux du
vocabulaire de l’ingénierie nucléaire publiés au Journal officiel de la République française à la date de
publication du présent guide. Les définitions correspondantes sont reproduites en annexe 1 du présent
guide.

Dans la suite du guide, sauf mention particulière, le terme EIP est à comprendre comme un EIP
nécessaire à la démonstration de sûreté nucléaire pour les risques de nature radiologique. Si la
recommandation porte sur une structure ou un composant pris en compte individuellement, le terme
« structure IP » ou « composant IP » peut être utilisé. Le cas échéant, si la recommandation porte sur
l’ensemble des composants et structures d’un système, le terme « système IP » peut être utilisé.

1.6.2 Les expressions « aggravant », « agression de référence », « condition de fonctionnement de référence », « critère de
défaillance unique », « défaillance unique », « défaillance unique active », « défaillance unique passive », « état contrôlé »,
« état sûr », « événement initiateur unique (EIU) », « fonction de sûreté radiologique », « fonction support », « méthode
d’étude », « situation plausible » sont définies en annexe 1.

1.6.3 Une correspondance entre les termes utilisés dans le présent guide et la terminologie utilisée dans
les autres publications internationales est présentée dans l’annexe 2 du présent guide.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P11/ 97 -
 II OBJECTIFS ET PRINCIPES GENERAUX DE CONCEPTION
II.1 Objectifs généraux

II.1.1 Fonctionnement normal de l’installation

[Link] En application de l’article L. 1333-1 du code Article L.1333-1 du code de la santé publique
de la santé publique, la conception de l’installation
vise notamment à ce que, en fonctionnement normal, Les activités comportant un risque d'exposition des
personnes aux rayonnements ionisants et ci-après
l’exposition radiologique des personnes y compris par dénommées activités nucléaires, […] doivent
les atteintes portées à l'environnement, soit aussi satisfaire aux principes suivants : […]
faible que possible dans des conditions
économiquement acceptables, aussi bien à l’intérieur 2° L'exposition des personnes aux rayonnements
qu’à l’extérieur de l’installation. ionisants résultant d'une de ces activités […] doit
être maintenue au niveau le plus faible qu'il est
raisonnablement possible d'atteindre, compte tenu
de l'état des techniques, des facteurs économiques
et sociaux…

[Link] En application du I. de
l’article 4.1.1 et du II. de l’article 6.1 Article 4.1 de l’arrêté du 07/02/2012
de l’arrêté du 7 février 2012, la I. ― Les inconvénients mentionnés à l'article 1er.2 incluent, d'une
conception de l’installation vise à ce part, les impacts occasionnés par l'installation sur la santé et
que : l'environnement du fait des prélèvements d'eau et rejets, et, d'autre
part, les nuisances qu'elle peut engendrer, notamment par la dispersion
 les quantités et les niveaux de de micro-organismes pathogènes, les bruits et vibrations, les odeurs ou
rejets d’effluents liquides et l'envol de poussières.
gazeux, radioactifs ou non ; II. ― Vis-à-vis des inconvénients susmentionnés, les meilleures
 les quantités et les activités techniques disponibles mentionnées à l'article 1er.2 sont celles
des déchets radioactifs ; définies par l'arrêté du 26 avril 2011 susvisé dans sa version
liés au fonctionnement normal de mentionnée en annexe I.
l’installation soient limités en tirant
parti des meilleures techniques Article 4.1.1 de l’arrêté du 07/02/2012
disponibles, au sens de l’annexe 1 de I. – L’exploitant prend toutes dispositions, dès la conception, pour
l’arrêté du 26 avril 20115, en prenant limiter les rejets d’effluents de l’installation.
en considération les caractéristiques
de l'installation, son implantation Article 6.1 de l’arrêté du 07/02/2012
géographique et les conditions II. – L’exploitant prend toutes dispositions, dès la conception, pour
locales de l'environnement. Cet prévenir et réduire, en particulier à la source, la production et la
objectif s’inscrit dans le cadre d’une nocivité des déchets produits dans son installation.
optimisation de la production des III. – Pour la gestion des déchets, les meilleures techniques
effluents et des déchets qui tient disponibles mentionnées à l’article 1er 2 sont celles définies par
l’arrêté du 26 avril 2011 susvisé dans sa version mentionnée en annexe
compte des considérations de 1.
radioprotection.

5 Définition des « meilleures techniques disponibles » confirmée dans l’arrêté du 2 mai 2013.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P12/ 97 -
 Annexe 1 de l’arrêté du 26 avril 2011 relatif à la mise en œuvre des meilleures techniques disponibles prévue
par l'article R. 512-8 du code de l'environnement
Les meilleures techniques disponibles … se définissent comme le stade de développement le plus efficace et
avancé des activités et de leurs modes d'exploitation, démontrant l'aptitude pratique de techniques particulières à
constituer, en principe, la base des valeurs limites d'émission visant à éviter et, lorsque cela s'avère impossible, à
réduire de manière générale les émissions et l'impact sur l'environnement dans son ensemble.
Par « techniques », on entend aussi bien les techniques employées que la manière dont l'installation est conçue,
construite, entretenue, exploitée et mise à l'arrêt.
Par « disponibles », on entend les techniques mises au point sur une échelle permettant de les appliquer dans le
contexte du secteur industriel ou agricole concerné, dans des conditions économiquement et techniquement viables,
en prenant en considération les coûts et les avantages, que ces techniques soient utilisées ou produites ou non sur le
territoire de l'Etat membre intéressé, pour autant que l'exploitant concerné puisse y avoir accès dans des conditions
raisonnables.
Par « meilleures », on entend les techniques les plus efficaces pour atteindre un niveau général élevé de protection
de l'environnement dans son ensemble.

Article R. 4451-10 du code du travail

[Link] La conception contribue, pour le Les expositions professionnelles individuelles et
fonctionnement normal, au respect des objectifs collectives aux rayonnements ionisants sont
d’optimisation de l’exposition des travailleurs aux maintenues en deçà des limites prescrites par les
rayonnements ionisants mentionnés à l’article R. 4451- dispositions du présent chapitre au niveau le plus
10 du code du travail. faible qu'il est raisonnablement possible
d'atteindre.

II.1.2 Incidents et accidents susceptibles de survenir

Les objectifs ci-dessous sont cohérents avec ceux mentionnés à l’article 8 bis introduit par la directive
2014/87/EURATOM du Conseil du 8 juillet 2014 modifiant la directive 2009/71/Euratom établissant
un cadre communautaire pour la sûreté nucléaire des installations nucléaires.

[Link] La conception vise à ce que, lors des incidents ou des accidents, les rejets de substances
radioactives ou dangereuses ou les effets dangereux, ainsi que leurs impacts sur l’homme et
l’environnement, soient limités à des niveaux aussi faibles que possible dans des conditions
économiquement acceptables en prenant en compte l’avancement de la technique et de la pratique au
moment de la conception. À cet effet, la conception s’inscrit dans un processus global d’amélioration
continue de la sûreté nucléaire indissociable de l’objectif de limitation de l’exposition accidentelle du
public, des intervenants et de l’environnement.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P13/ 97 -
[Link] La conception vise en particulier à prévenir les incidents et accidents de nature radiologique et,
s’ils surviennent, à en limiter les conséquences ; ces dernières sont d’autant plus faibles que la fréquence
estimée de l’incident ou accident est importante. À ces fins, la conception vise à :
 minimiser le nombre d’incidents et limiter les possibilités d'apparition d’accidents ;
 minimiser autant que raisonnablement possible la fréquence des accidents conduisant à une
fusion de combustible ;
 prévenir ou, à défaut, limiter les rejets radioactifs pouvant résulter des incidents ou accidents, y
compris des accidents avec fusion de combustible ; en particulier, des dispositions visent à
empêcher la contamination par des substances radioactives de la source froide, des eaux
souterraines ou superficielles.

[Link] En particulier, pour les risques de nature radiologique, la conception vise à ce que :
 pour les accidents sans fusion de combustible (dans le réacteur ou en piscine), les conséquences
radiologiques soient aussi faibles que raisonnablement possible et que, en tout état de cause,
elles ne conduisent pas à la nécessité de mettre en œuvre des mesures de protection des
populations (pas de mise à l’abri, pas de prise d’iode stable, pas d’évacuation, pas de restriction
sur la consommation des denrées alimentaires ou alors une restriction limitée dans l’espace et
dans le temps) ;
 la fréquence estimée de fusion de combustible soit inférieure à 10-5 par année et par réacteur en
tenant compte de tous les types de défaillances (humaines, matérielles) et d’agressions (hors
actes de malveillance). Cette évaluation est confortée par des analyses d’incertitudes et de
sensibilité. Dans la pratique, afin de prendre en compte les spécificités des agressions externes,
plusieurs cibles probabilistes sont généralement définies en fonction de la nature des
événements considérés. Ainsi, des valeurs d'orientation de 10-6 par an pour les fréquences de
fusion de combustible due aux défaillances internes respectivement pour les états en puissance
et les états d’arrêt pourraient être utilisées ;
 les accidents avec fusion de combustible susceptibles de conduire à des rejets radioactifs
importants6 ou à des rejets radioactifs hors du site avec une cinétique qui ne permettrait pas la
mise en œuvre à temps des mesures nécessaires de protection des populations soient rendus
physiquement impossibles ou à défaut extrêmement improbables avec un haut degré de
confiance ;
 les mesures de protection des populations qui seraient nécessaires dans le cas des autres
accidents avec fusion de combustible soient limitées dans l’espace et dans le temps (pas de
relogement permanent, pas d’évacuation en dehors du voisinage immédiat du site, pas de mise à
l’abri en dehors du voisinage du site, pas de restriction de consommation des denrées
alimentaires sur le long terme en dehors du voisinage du site). Dans ce but, ces accidents ne
conduisent pas à une contamination de larges étendues et à une pollution des milieux sur le long
terme.

[Link] La conception contribue, pour le fonctionnement incidentel et accidentel, au respect des

objectifs d’optimisation de l’exposition des travailleurs aux rayonnements ionisants mentionnés à
l’article R. 4451-10 du code du travail.

6Il s’agit de rejets nécessitant la mise en œuvre de mesures de protection des populations qui ne pourraient pas être limitées
en termes d’étendue et de durée.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P14/ 97 -
 II.2 Principes généraux de conception
2.2.1 La démarche générale de conception de l’installation repose sur une démarche déterministe
prudente basée sur le principe de défense en profondeur complétée par une approche probabiliste. Elle
nécessite de déterminer les événements susceptibles d’affecter une barrière ou une fonction de sûreté
radiologique puis de définir les dispositions à mettre en œuvre sur l’installation pour prévenir ces
événements ou en limiter les conséquences s’ils sont plausibles.

II.2.1 Défense en profondeur

[Link] Le principe de défense en profondeur mentionné à l’article 3.1 de l’arrêté du 7 février 2012
s’applique par la mise en œuvre de niveaux de défense successifs (caractéristiques intrinsèques,
dispositions matérielles et procédures), destinés à prévenir les incidents et accidents (définis dans
l’annexe 1) puis, en cas d’échec de la prévention, à en limiter les conséquences :
 Le premier niveau de défense a pour objet de prévenir les incidents ;
 Le deuxième niveau de défense a pour objet de détecter la survenue de tels incidents et mettre en
œuvre les actions permettant, d’une part, d’empêcher que ceux-ci ne conduisent à un accident
et, d’autre part, de rétablir une situation de fonctionnement normal ou, à défaut, d’atteindre puis
de maintenir le réacteur dans un état sûr ;
 Le troisième niveau de défense a pour objet de maîtriser les accidents n’ayant pu être évités ou, à
défaut, limiter leur aggravation en reprenant la maîtrise de l’installation afin de la ramener et de
la maintenir dans un état sûr ;
 Le quatrième niveau de défense a pour objet de gérer les situations d’accident consécutives à l’échec
des dispositions des trois premiers niveaux de défense en profondeur et conduisant à la fusion
de combustible, de façon à en limiter les conséquences, notamment pour les personnes et
l’environnement.

Article 3.1 de l’arrêté du 07/02/2012

I. – L’exploitant applique le principe de défense en profondeur, consistant en la mise en œuvre de niveaux de
défense successifs et suffisamment indépendants visant, pour ce qui concerne l’exploitant, à :
- prévenir les incidents ;
- détecter les incidents et mettre en œuvre les actions permettant, d’une part, d’empêcher que ceux-ci ne
conduisent à un accident et, d’autre part, de rétablir une situation de fonctionnement normal ou, à défaut,
d’atteindre puis de maintenir l’installation dans un état sûr ;
- maîtriser les accidents n’ayant pu être évités ou, à défaut, limiter leur aggravation, en reprenant la maîtrise de
l’installation afin de la ramener et de la maintenir dans un état sûr ;
- gérer les situations d’accident n’ayant pas pu être maîtrisées de façon à limiter les conséquences notamment
pour les personnes et l’environnement.

Tandis que le quatrième niveau de défense permet de gérer les situations d’accident avec fusion de
combustible, le troisième niveau a pour objectif de prévenir cette fusion dans le domaine de conception
de référence (niveau 3a) et dans le domaine de conception étendu (niveau 3b), définis respectivement
aux chapitres III.3 et III.4.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P15/ 97 -
Par ailleurs, un cinquième niveau de défense en profondeur, visant à la gestion de crise par les pouvoirs
publics, a pour objectif d’atténuer les conséquences radiologiques des rejets radioactifs susceptibles de
résulter de conditions accidentelles.
À cet égard, des dispositions de conception spécifiques sont prévues. Ceci est développé au chapitre
VII.5.

[Link] Ces niveaux de défense sont suffisamment indépendants pour que les objectifs spécifiés au
chapitre II.1.2 soient respectés. Les recommandations mentionnées dans le chapitre IV.1.2 visent à
obtenir une indépendance suffisante.

II.2.2 Barrières
[Link] En matière de risque radiologique, pour se conformer aux exigences fixées notamment au III de
l’article 3.4 et au II de l’article 4.1.1 de l’arrêté du 7 février 2012 et afin de prévenir ou, à défaut, limiter
la dispersion de substances radioactives, la conception de l’installation prévoit des barrières physiques à
interposer entre ces substances et les personnes et l’environnement.

Article 3.4 de l’arrêté du 07/02/2012

III. – La fonction de confinement des substances radioactives est assurée par l’interposition, entre ces substances
et les personnes et l’environnement, d’une ou plusieurs barrières successives suffisamment indépendantes,…

Article 4.1.1 de l’arrêté du 07/02/2012

II. – L’exploitant prend toute disposition pour éviter les écoulements et rejets dans l’environnement non prévus.

[Link] En particulier, dans les états où le circuit primaire du réacteur est fermé, la conception prévoit
au moins trois barrières entre les pastilles du combustible chargé dans la cuve du réacteur et
l’environnement, dont :
 la 1ère barrière constituée de la gaine du combustible ;
 la 2ème barrière constituée de l’enveloppe du circuit primaire principal tel que défini dans l’arrêté
du 10 novembre 1999 ;
 la 3ème barrière qui comprend :
o l’enceinte de confinement (bâtiment réacteur), les traversées de l’enceinte et leurs
systèmes d’isolement ;
o l’enveloppe des circuits secondaires principaux à l’intérieur de l’enceinte de confinement ;
o l’enveloppe des circuits appartenant aux systèmes dont le fonctionnement est requis lors
d’un incident ou d’un accident pour la réalisation d’une fonction de sûreté radiologique et
véhiculant du fluide radioactif (fluide primaire ou atmosphère de l’enceinte) hors de
l’enceinte de confinement.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P16/ 97 -
[Link] Les barrières mentionnées au [Link] du présent guide sont :
 autant que possible indépendantes entre elles ;
 conçues de telle sorte que la défaillance d’une barrière n’entraîne pas la défaillance d’une
barrière l’entourant.
De plus, leur conception résulte d’une
démarche prudente, incluant des marges Article 3.4 de l’arrêté du 07/02/2012
visant à éviter ou retarder leur défaillance en I. ― La démonstration de sûreté nucléaire présente la manière
cas de sollicitation en fonctionnement dont les fonctions suivantes sont assurées :
normal et lors d’incidents ou d’accidents.  la maîtrise des réactions nucléaires en chaîne ;
Les exigences de conception associées aux  l'évacuation de la puissance thermique issue des
barrières et les dispositions prises aux substances radioactives et des réactions nucléaires ;
 le confinement des substances radioactives ;
différents niveaux de la défense en
 la protection des personnes et de l'environnement
profondeur permettent que soient assurées contre les rayonnements ionisants.
les fonctions mentionnées au I de l’article
3.4 de l’arrêté du 7 février 2012.

II.2.3 Fonctions permettant la prévention des incidents ou

accidents ou la limitation de leurs
conséquences
[Link] En application du II de l’article
Article 3.1 de l’arrêté du 07/02/2012
3.1 de l’arrêté du 7 février 2012, les
II. – La mise en œuvre du principe de défense en profondeur
fonctions nécessaires à la s’appuie notamment sur … une démarche de conception prudente,
démonstration de sûreté nucléaire intégrant des marges de dimensionnement et recourant, en tant que
sont identifiées. Pour ce qui concerne de besoin, à une redondance, une diversification et une séparation
les risques radiologiques, il s’agit des physique adéquates des éléments importants pour la protection qui
fonctions de sûreté radiologiques et assurent des fonctions nécessaires à la démonstration de sûreté
nucléaire, pour obtenir un haut niveau de fiabilité et garantir les
des fonctions support.
fonctions…;

[Link] En matière de risque radiologique, la conception prévoit des dispositions permettant d’assurer
les fonctions de sûreté radiologiques, en fonctionnement normal et lors d’incidents ou d’accidents. En
application du II de l’article 3.1 de l’arrêté du 7 février 2012, ces dispositions permettent d’obtenir un
haut niveau de fiabilité pour chaque fonction fondamentale mentionnée au I de l’article 3.4 de l’arrêté
du 7 février 2012.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P17/ 97 -
 II.2.4 Démonstration de sûreté nucléaire - Approche générale
[Link] En matière de risque radiologique, la démonstration de sûreté nucléaire justifie que les risques
d’incident ou d’accident et l’ampleur de leurs conséquences sont, compte tenu de l’état des
connaissances, des pratiques et de la vulnérabilité de l’environnement de l’installation, aussi faibles que
possible dans des conditions économiques acceptables.
Ceci implique :
 de déterminer les événements pouvant affecter la sûreté nucléaire de l’installation (événements
initiateurs uniques (EIU), agressions externes et internes ; chapitres III.1 et III.5) afin de
sélectionner ceux à étudier (chapitre III.2) en mettant en œuvre des méthodes respectant les
principes exposés au chapitre III.7 :
o les EIU ainsi que les agressions les plus plausibles sont étudiés dans un domaine de
conception dit « de référence » (chapitre III.3) afin de déterminer, sur la base d’une
démarche conservative, les dispositions permettant d’en limiter les effets ;
o des événements plus complexes ou plus sévères (chapitre III.4) que ces derniers sont
étudiés dans un domaine de conception dit « étendu » afin de renforcer, sur la base
d’une démarche adaptée, la capacité de l’installation à y faire face ;
 de réaliser des études probabilistes de sûreté (chapitre III.6) afin de conforter les choix de
conception ;
 d’appliquer aux dispositions à mettre en œuvre les exigences mentionnées aux chapitres IV à
VII.

Les choix de conception issus de la mise en œuvre de cette approche permettent d’atteindre les
objectifs généraux de sûreté présentés dans le chapitre II.1.2.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P18/ 97 -
 III DEMARCHE GENERALE DE CONCEPTION
III.1 Identification des événements pouvant affecter la sûreté
nucléaire de l’installation
3.1.1 Afin de déterminer les événements à analyser dans la démonstration de sûreté nucléaire (voir
III.2), l’ensemble des événements pouvant affecter la sûreté nucléaire de l’installation lors du
fonctionnement normal de l’installation (y compris les états d’arrêt du réacteur) sont identifiés sur la
base :
 des événements déclencheurs comprenant :
o les événements initiateurs uniques (EIU) ;
o les agressions internes pouvant entraîner de manière directe ou indirecte des dommages aux
EIP nécessaires pour accomplir les fonctions de sûreté radiologiques ;
o les agressions externes d’origine naturelle ou liées aux activités humaines dans
l’environnement de l’installation, pouvant entraîner de manière directe ou indirecte des
dommages aux EIP nécessaires pour accomplir les fonctions de sûreté radiologiques ;
 de cumuls plausibles de ces événements déclencheurs, y compris avec des défaillances des
dispositions mises en œuvre pour y faire face.

La prise en compte des agressions relevant d’actes de malveillance fait l’objet du chapitre III.5 du
présent guide.

III.2 Démonstration de sûreté nucléaire

3.2.1 Dans la démonstration de sûreté nucléaire, les événements déclencheurs sont « exclus » ou
« traités ».

3.2.2 Un événement déclencheur peut être « exclu » s’il est démontré qu'il est physiquement impossible
ou extrêmement improbable avec un haut degré de confiance au regard des objectifs généraux de sûreté
(cf. II.1). Pour les EIU, des dispositions concrètes sur l’installation, notamment en termes de
conception et de construction, complétées par des dispositions d’exploitation (de contrôle et
d’inspection en service notamment), sont en général mises en œuvre pour justifier cette exclusion.
Sauf cas particulier, lorsqu’un événement déclencheur est exclu, ses conséquences ne font pas l’objet
d’études.

3.2.3 Les événements déclencheurs non exclus sont traités, c’est-à-dire que leur survenue est postulée et
que leurs conséquences sont évaluées. Des dispositions sont mises en œuvre pour prévenir7 leur
survenue et réduire leurs conséquences afin de respecter les objectifs définis au chapitre II.1 du présent
guide.

7Pour les agressions externes, les dispositions de prévention peuvent être limitées en termes de conception ; une attention
appropriée du choix d’un site permet de minimiser les risques associés.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P19/ 97 -
3.2.4 En application de l’alinéa II de l’article 3.2 de l’arrêté du 7 février 2012, les cumuls plausibles
d’événements déclencheurs sont traités dans la démonstration de sûreté nucléaire.
Article 3.2 de l’arrêté du 07/02/2012
II. – En complément des événements déclencheurs uniques postulés, la démonstration de sûreté nucléaire traite
des situations plausibles de cumul d’événements déclencheurs, sélectionnés selon des critères justifiés
notamment au regard des analyses et évaluations mentionnées aux articles 2.7.2 et 3.3.

Article 3.3 de l’arrêté du 07/02/2012

La démonstration de sûreté nucléaire comporte en outre, sauf si l’exploitant démontre que ce n’est pas pertinent,
des analyses probabilistes des accidents et de leurs conséquences. Ces analyses peuvent être réalisées, sauf
prescription particulière contraire de l’Autorité de sûreté nucléaire, selon des méthodes appliquées aux installations
mentionnées à l’article L. 512-1 du code de l’environnement. Elles intègrent les dimensions techniques,
organisationnelles et humaines.

3.2.5 Les accidents avec fusion du cœur sont pris en compte à la conception afin de déterminer les
dispositions de limitation des conséquences à mettre en place pour respecter les objectifs généraux de
sûreté mentionnés au II.1.

3.2.6 En application de l’article 3.9 de l’arrêté du 7 février 2012, les accidents avec fusion de
combustible susceptibles de conduire à des rejets radioactifs importants ou à des rejets radioactifs hors
du site avec une cinétique qui ne permettrait pas la mise en œuvre à temps des mesures nécessaires de
protection des populations sont rendus physiquement impossibles ou, à défaut, des dispositions sont
mises en œuvre afin de les rendre extrêmement improbables avec un haut degré de confiance. Les
justifications de ces dispositions reposent sur une analyse déterministe, confortée lorsque pertinent par
des évaluations probabilistes, en tenant compte des incertitudes dues aux connaissances limitées de
certains phénomènes physiques.

Sans vocation à l’exhaustivité, les situations concernées peuvent être8 :

 les accidents de réactivité qui pourraient résulter de l’introduction rapide dans le cœur d’eau
froide ou d’eau dont la concentration en absorbant neutronique est réduite ;
 les accidents de surpression primaire qui pourraient entraîner une perte d’intégrité de la cuve et
endommager l’enceinte de confinement ;
 les détonations globales ou locales d’hydrogène susceptibles de porter atteinte à l'intégrité de
l'enceinte de confinement ;
 les explosions de vapeur en cuve ou en dehors de la cuve susceptibles de porter atteinte à
l'intégrité de l'enceinte de confinement ;
 les situations de découvrement d’assemblages de combustible irradiés entreposés sous eau ou
en cours de manutention ;
 les séquences de fusion de combustible avec bipasse du confinement ;
 les séquences de fusion du cœur avec maintien d’une pression élevée dans le circuit primaire qui
pourraient entraîner un bipasse ou une défaillance de l’enceinte de confinement.

8Rendre ces situations physiquement impossibles ou les rendre extrêmement improbables avec un haut degré de confiance
permet de les considérer comme pratiquement éliminées.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P20/ 97 -
 Article 3.9 de l’arrêté du 07/02/2012
La démonstration de sûreté nucléaire doit justifier que les accidents susceptibles de conduire à des rejets importants
de matières dangereuses ou à des effets dangereux hors du site avec une cinétique qui ne permettrait pas la mise en
œuvre à temps des mesures nécessaires de protection des populations sont impossibles physiquement ou, si cette
impossibilité physique ne peut être démontrée, que les dispositions mises en œuvre sur ou pour l’installation
permettent de rendre ces accidents extrêmement improbables avec un haut degré de confiance.

3.2.7 Les études probabilistes de sûreté (EPS) mentionnées à l’article 8.1.2 de l’arrêté du 7 février 2012
sont réalisées afin de conforter les choix de conception au regard des objectifs mentionnés au chapitre
II.1 du présent guide.

Article 8.1.2 de l’arrêté du 07/02/2012

Pour toute installation nucléaire de base comprenant un ou plusieurs réacteurs électronucléaires, les analyses
probabilistes mentionnées à l’article 3.3 incluent des études probabilistes de sûreté liées au risque
d’endommagement du combustible nucléaire et au risque de rejets anormaux de substances radioactives.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P21/ 97 -
 III.3 Domaine de conception de référence
Un domaine de conception dit « de référence » est défini afin de déterminer, sur la base d’une démarche
conservative, les dispositions permettant de limiter les effets des EIU et ceux des agressions les plus
plausibles.
Ce domaine comprend les EIU traités dans la démonstration de sûreté nucléaire, regroupés et classés au
sein de conditions de fonctionnement de référence (cf. chapitre III.3.1) ainsi que les agressions internes
et externes prises en compte, appelées agressions de référence (cf. chapitres III.3.2 et III.3.3).
Les paragraphes suivants présentent des recommandations concernant notamment les objectifs et les
règles associées à l’étude des événements pris en compte dans le domaine de conception de référence.

III.3.1 Conditions de fonctionnement de référence

III.3.1.1 Evénements pris en compte et catégorisation au titre

des conditions de fonctionnement de référence

[Link].1 La détermination des conditions de fonctionnement de référence (dites « DBC ») résulte :

 de l’identification des EIU dont les conséquences affectent au moins une fonction de sûreté
radiologique ;
 de l’exclusion des EIU qui font l’objet d’une prévention suffisante (cf. 3.2.2) ;
 du regroupement des EIU non exclus pour définir un nombre limité de conditions de
fonctionnement de référence de telle sorte que les conséquences de chaque événement de
référence enveloppent celles du groupe correspondant.

[Link].2 Les EIU traités dans la démonstration de sûreté nucléaire sont définis essentiellement sur une
base déterministe en tenant notamment compte des différents états de fonctionnement de l’installation
et de l’expérience des réacteurs similaires ou non, en France ou à l’étranger, en fonctionnement ou en
construction, et en l’adaptant aux spécificités de la conception de l’installation considérée.
Pour le réacteur ou la piscine d’entreposage, les EIU conduisent à l’évolution anormale d’au moins un
paramètre caractéristique de l’accomplissement d’une fonction de sûreté radiologique.

Les EIU peuvent conduire à :

 un refroidissement ou un échauffement excessif de l’eau du circuit primaire ;
 une réduction du débit d’eau dans le circuit primaire ;
 une perte d’inventaire en eau ou un apport incontrôlé d’eau dans le circuit primaire ;
 une évolution non maîtrisée des réactions nucléaires en chaîne ;
 une augmentation ou une diminution incontrôlée de la pression du circuit primaire ;
 une absence de refroidissement de la piscine d’entreposage des assemblages de combustible ;
 une diminution de la quantité d’eau présente dans un compartiment d’une piscine dans lequel
un ou plusieurs assemblages de combustible sont présents ;
 une dissémination anormale de radionucléides (par exemple, par rupture ou perte d’étanchéité
de composants contenant des substances radioactives, ou détérioration d’assemblages de
combustible au cours d’une manutention).

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P22/ 97 -
[Link].3 Les conditions de fonctionnement de référence sont classées en catégories. La répartition
dans les différentes catégories est réalisée principalement selon les fréquences d’occurrence estimées
des groupes d’EIU correspondants.
Les conditions de fonctionnement de référence sont classées en quatre catégories :
 le fonctionnement normal (catégorie 1 ou DBC1), où l’installation est maintenue dans les
limites définies par ses spécifications techniques d’exploitation;
 les incidents (catégorie 2 ou DBC2), de fréquence annuelle d’occurrence estimée par réacteur
supérieure à 10-2 ;
 les accidents de catégorie 3 (ou DBC3), de fréquence annuelle d’occurrence estimée par réacteur
supérieure à 10-4 et inférieure à 10-2 ;
 les accidents de catégorie 4 (ou DBC4), de fréquence annuelle d’occurrence estimée par réacteur
inférieure à 10-4 et qui n’ont pas été exclus au titre de l’article 3.2.2. Les combinaisons non
plausibles d’accident et d’états initiaux peuvent, sous réserve de justifications appropriées et en
fonction des conséquences possibles, ne pas être examinées.

[Link].4 Une attention particulière est portée :

 aux états d’arrêt présentant des conditions spécifiques, notamment lorsque sont indisponibles
certaines barrières de confinement (par exemple lors de l’ouverture du circuit primaire principal,
de l’ouverture du sas ou du tampon d’accès des matériels de l’enceinte de confinement) ou
certains EIP, ou lorsque des travailleurs peuvent être présents à l’intérieur de l’enceinte de
confinement ;
 aux événements pouvant affecter le combustible entreposé en piscine et à ceux pouvant affecter
simultanément le combustible dans la cuve du réacteur et le combustible entreposé en piscine ;
 aux événements qui pourraient conduire à un bipasse de l’enceinte de confinement.

III.3.1.2Objectifs et exigences de sûreté associés aux

conditions de fonctionnement de référence

[Link].1 Pour chaque catégorie de conditions de fonctionnement de référence, des objectifs en termes
de tenue des barrières de confinement, d’évacuation de la puissance résiduelle et de maîtrise de la
réactivité sont définis.

[Link].2 Des exigences de sûreté, découlant notamment des objectifs ci-dessus, sont déterminées pour
chaque catégorie de condition de fonctionnement de référence. Ces exigences de sûreté sont associées
aux différents phénomènes physiques susceptibles d’aller à l’encontre des objectifs de sûreté.
Les objectifs et les exigences de sûreté sont d’autant plus sévères que la fréquence estimée de la
condition de fonctionnement de référence correspondante est élevée.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P23/ 97 -
[Link].3 Pour l’ensemble des conditions de fonctionnement de référence de catégories 2 à 4 :
 une condition de fonctionnement de référence ne provoque pas par elle-même la perte d’une
fonction destinée à en limiter les conséquences ;
 les dispositions prises au titre de la maîtrise des réactions nucléaires en chaîne :
o visent à éviter l’atteinte des conditions critiques dans les situations où le réacteur est à
l’arrêt lorsque l’EIU survient ;
o garantissent l’absence de criticité dans la piscine d’entreposage des assemblages de
combustible ;
 lors d’une condition de fonctionnement de référence, l’installation atteint un état contrôlé et est
amenée puis maintenue dans un état sûr9 :
o l’atteinte de l’état contrôlé ne nécessite pas d’action manuelle des opérateurs, sauf
justification particulière ;
o l’état contrôlé implique un inventaire en eau (dans le circuit primaire et dans les piscines)
stable, voire croissant ; pour la piscine d’entreposage des assemblages de combustible,
sans découvrement d’assemblage ;
o l’atteinte de l’état sûr ne nécessite pas la réalisation d’une action humaine à court terme
(cf. [Link].5) ;
o l’état sûr implique l’arrêt de la vidange de la piscine d’entreposage des assemblages de
combustible, sans découvrement d’un assemblage de combustible, si cette vidange est à
l’origine du transitoire ;
o dans l’état sûr, l’atteinte des conditions permettant l’évacuation de la puissance vers la
source froide principale est privilégiée ;
 le refroidissement et le confinement des combustibles entreposés ou manutentionnés en piscine
sont maîtrisés. En particulier, les assemblages de combustible restent sous eau et les éventuels
rejets radioactifs sont filtrés (cf. article [Link]) ;
 une condition de fonctionnement de référence n’entraîne pas la dispersion dans le circuit
primaire d’une quantité de pastilles ou de fragments de pastilles de combustible ayant un effet
significatif. De plus, si la conception du réacteur permet son exploitation avec quelques défauts
de gainage et que l’absence de dispersion de combustible dans le circuit primaire lors d’une
condition de fonctionnement de référence ne peut pas dans ce cas être démontrée, l’absence de
conséquences notables de cette dispersion est alors établie.

[Link].4 Les conditions de fonctionnement des catégories 1 et 2 n’entraînent pas la perte d’intégrité10
d’une barrière de confinement, c’est-à-dire une altération irréversible de cette barrière remettant en
cause l’efficacité prévue dans la démonstration de sûreté nucléaire.

En particulier, l’intégrité des crayons de combustible vis-à-vis des différents modes

d’endommagement11 est démontrée : les différents phénomènes physiques (hydrauliques, thermo-
hydrauliques, mécaniques et thermiques) sollicitant la première barrière de confinement sont pris en
compte.

9 Cf. annexe 1 pour les définitions d’ « état sûr » et d’ « état contrôlé ».

10 L’ouverture contrôlée d’une vanne ou l’ouverture momentanée d’une soupape ne constitue pas une perte d’intégrité si
cette ouverture est prévue dans la démonstration de sûreté nucléaire.
11 Ils incluent notamment l’usure, la fatigue, l’IPG, les conséquences de la crise d’ébullition.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P24/ 97 -
[Link].5 La conception vise à ce que les conditions de fonctionnement de référence de catégorie 2
n’induisent pas de relâchement de fluide primaire dans l’enceinte.

[Link].6 Une condition de fonctionnement de référence des catégories 2 ou 3 ne doit pas être à
l’origine d’une condition de fonctionnement de référence de catégorie supérieure.

[Link].7 Pour les accidents de catégorie 3 :

 la fusion à cœur de pastilles de combustible est évitée ;
 les dommages subis par la structure des assemblages de combustible et les crayons de
combustible ne remettent pas en cause la possibilité de déchargement et d’entreposage du
combustible ;
 le CPP ne subit pas de dommages affectant son intégrité autres que les conséquences directes
de l’EIU ;
 l’intégrité de l’enceinte de confinement est assurée et les autres composants de la 3ème barrière
ne subissent pas de dommages affectant leur intégrité autres que les conséquences directes de
l’EIU.

[Link].8 Pour les accidents de catégorie 4 :

 la fusion de la pastille de combustible au point chaud du cœur reste limitée ;
 le CPP ne subit pas de dommages affectant son intégrité autres que les conséquences directes
de l’EIU ;
 l’intégrité de l’enceinte de confinement est assurée et les autres composants de la 3ème barrière
ne subissent pas de dommages affectant leur intégrité autres que les conséquences directes de
l’EIU.

[Link].9 Pour les accidents de catégories 3 et 4, le refroidissement du cœur, avec en particulier la

conservation d’une géométrie refroidissable, est assuré.

[Link].10 Afin de limiter les conséquences radiologiques des accidents de catégories 3 et 4, les
dommages à la 1ère barrière sont limités en termes de nombre de crayons de combustible affectés et de
sévérité. Ces dommages sont plus faibles pour les accidents de catégorie 3 que pour ceux de catégorie 4.

III.3.1.3Critères techniques d’acceptation associés aux

conditions de fonctionnement de référence

[Link].1 En pratique, des critères techniques d’acceptation sont définis afin de décliner de manière
opérationnelle les objectifs et les exigences de sûreté mentionnés dans le chapitre III.3.1.2 du présent
guide.
Ces critères sont d’autant plus sévères que la fréquence estimée de la catégorie de condition de
fonctionnement de référence correspondante est élevée.
Ces critères peuvent incorporer des simplifications conservatives ou des marges par rapport aux
exigences de sûreté.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P25/ 97 -
[Link].2 Les critères techniques d’acceptation portent sur des grandeurs représentatives des
phénomènes physiques limitatifs, accessibles par le calcul ou mesurables sur l’installation. Les valeurs
limites sont déterminées sur la base d’expérimentations représentatives des situations rencontrées dans
les conditions de fonctionnement de référence.

[Link].3 Les critères techniques d’acceptation relatifs au comportement du combustible portent

notamment sur la température maximale des pastilles de combustible, sur le rapport de flux thermique
critique, sur la tenue mécanique des gaines du combustible, sur la température de ces gaines et leur
niveau d’oxydation, ainsi que sur la fraction des gaines du combustible endommagées.

[Link].4 Le respect des critères techniques d’acceptation est vérifié par les études des conditions de
fonctionnement de référence.

[Link].5 La conception vise à ce que, en cas de rupture de tube(s) de générateur de vapeur considérée
dans le domaine de conception de référence, les rejets en eau liquide du circuit primaire dans
l’environnement soient évités.

III.3.1.4Règles d’étude des conditions de fonctionnement de

référence

[Link].1 Les études des conditions de fonctionnement de référence sont réalisées en suivant des règles
d’étude et en tenant compte de l’état de l’installation tel qu’il est connu ou prévisible, notamment
compte tenu du retour d’expérience d’installations similaires.
Ces règles visent à assurer le caractère enveloppe des études des conditions de fonctionnement de
référence (cf. III.7). À ce titre, une bonne pratique consiste à retenir des hypothèses enveloppes.

[Link].2 Les règles d’étude des conditions de fonctionnement de référence de catégories 2 à 4

définissent en particulier les modalités relatives :
 aux conditions initiales et aux limites tenant compte du domaine de fonctionnement normal
prévu de l’installation et de l’état du combustible compatible avec ce fonctionnement normal ;
 aux actions des opérateurs (cf. [Link].5) ;
 à la défaillance postulée au titre de l’aggravant (cf. [Link].4) ;
 à l’application du cumul d’un manque de tension externe à la condition de fonctionnement de
référence (cf. [Link].6);
 aux états contrôlés et sûrs visés pour l’installation (cf. [Link].3) ;
 aux EIP et autres équipements concernés, tels que les régulations principales de l’installation (cf.
[Link].3) ;
 aux indisponibilités des EIP requis, compte tenu des programmes de maintenance préventive.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P26/ 97 -
[Link].3 Ces règles d’études sont telles que :
 les EIP bénéficiant d’un classement adéquat (au sens défini au chapitre IV.2.1 du présent guide)
peuvent être pris en compte ;
 les systèmes, structures et composants qui ne sont pas des EIP ou ne bénéficiant pas d’un
classement adéquat (au sens défini au IV.2.1) :
o sont pris en compte si l’effet de leur fonctionnement normal est pénalisant au regard du
respect des critères techniques d’acceptation associés à la condition de fonctionnement de
référence ;
o peuvent, à titre d’exception être pris en compte pour leur effet favorable au regard du
respect des critères techniques d’acceptation associés à la condition de fonctionnement de
référence, moyennant l’application d’exigences appropriées. Il est vérifié que l’absence de
prise en compte de ces SSC dans la démonstration de sûreté est enveloppée en termes de
conséquences par une autre condition de fonctionnement de référence qui peut être de
catégorie identique ou supérieure ;
o peuvent être pris en compte pour leur effet favorable, sous réserve de justifications de
leur capacité à fonctionner dans les conditions d’ambiance associées à la condition DBC
pour la durée nécessaire, s’ils sont en service avant l’occurrence de l’initiateur et restent en
fonctionnement, dans les mêmes conditions que celles précédant l’occurrence de
l’initiateur (pas de changement d’état, pas de changement des paramètres de
fonctionnement et d’environnement). Il est vérifié que l’absence de prise en compte de
ces SSC dans la démonstration de sûreté est enveloppée en termes de conséquences par
une autre condition de fonctionnement de référence qui peut être de catégorie identique
ou supérieure ;
 les régulations qui, en application de la règle générale, ne seraient pas prises en compte, sont
supposées laisser les équipements qu'elles commandent dans la position que ceux-ci avaient à
l'instant initial ;
 les EIP pris en compte dans la démonstration de sûreté sont supposés fonctionner
correctement à leur niveau de performances globalement le plus pénalisant vis-à-vis du respect
des critères techniques d’acceptation pour la condition de fonctionnement.

[Link].4 Ces règles d’étude prévoient de retenir l’aggravant le plus pénalisant au regard des critères
techniques d’acceptation à respecter. Les défaillances à envisager en tant qu’aggravant tiennent compte
des recommandations figurant au chapitre IV.2.312. En particulier, le blocage de la grappe de contrôle la
plus anti-réactive est un aggravant possible.
La défaillance retenue au titre de l’aggravant ne modifie pas la catégorie de la condition de
fonctionnement de référence analysée.

[Link].5 Une action manuelle depuis la salle de commande principale est supposée intervenir au plus
tôt 30 minutes après la première information significative donnée aux opérateurs après l’EIU. Une
action manuelle en dehors de la salle de commande principale est supposée intervenir au plus tôt une
heure après la première information significative donnée aux opérateurs après l’EIU.
De plus, la faisabilité des actions humaines nécessaires pour ramener et maintenir le réacteur à l’état sûr
est assurée à la suite d’une condition de fonctionnement de référence.

12Les défaillances induites par l’EIU ne sont pas considérées comme des aggravants car prises en compte comme
conséquences de l’EIU.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P27/ 97 -
[Link].6 Il est considéré qu’un séisme peut provoquer la perte des alimentations électriques externes et
induire une condition de fonctionnement de référence.
Par convention, les conditions de fonctionnement de référence (à l'exception de celles provoquées par
une action humaine) sont également étudiées en postulant le cumul de la perte des alimentations
électriques externes avec la condition de fonctionnement de référence, et ceci au moment le plus
défavorable. Sont a priori considérés les moments suivants : initiateur, arrêt automatique du réacteur,
signal d’injection d’eau de secours dans le cœur.
Dans les études correspondant au cumul :
 seuls les EIP qui restent opérationnels pendant ou après la survenue d’un séisme peuvent être
retenus dans la démonstration de sûreté ;
 un temps de chute des grappes allongé par rapport à celui utilisé dans l’étude sans tenir compte
du séisme est retenu ;
 les critères techniques d’acceptation à respecter sont ceux des conditions de fonctionnement de
référence de catégorie 4.

III.3.1.5 Evaluation des conséquences radiologiques des

conditions de fonctionnement de référence

[Link].1 Les conséquences radiologiques des conditions de fonctionnement de référence sont évaluées
conformément aux dispositions de l’article 3.7 de l’arrêté du 7 février 2012 et de l’article 4.7.1 de la
décision n° 2015-DC-532 de l’ASN du 17 novembre 2015 relative au rapport de sûreté des installations
nucléaires de base.

Article 3.7 de l’arrêté du 07/02/2012

I. – La démonstration de sûreté nucléaire comporte une évaluation des conséquences potentielles, radiologiques ou
non, des incidents et accidents envisagés. Cette évaluation comporte, pour chaque scénario :
- une présentation des hypothèses retenues pour le calcul des rejets et pour les scénarios d’exposition ; les
hypothèses retenues pour le calcul des rejets doivent être raisonnablement pessimistes et les scénarios
d’exposition doivent être fondés sur des paramètres réalistes sans toutefois tenir compte d’éventuelles actions de
protection des populations qui pourraient être mises en œuvre par les pouvoirs publics ;
- une estimation des doses efficaces et de l’intensité des phénomènes non radiologiques auxquelles les personnes
et l’environnement sont susceptibles d’être exposés à court, moyen et long termes, en distinguant les différentes
classes d’âge lorsque nécessaire, et en considérant les différentes voies de transfert des substances dangereuses ;
en cas de rejet de substances radioactives le justifiant, l’estimation inclut les doses équivalentes à la thyroïde ;
- une estimation de l’étendue des zones susceptibles d’être affectées ;
- pour les incidents ou accidents ayant des conséquences à l’extérieur du site, la cinétique d’évolution des
phénomènes dangereux et de propagation de leurs effets.
…
III. – L’intensité des phénomènes dangereux radiologiques est définie par rapport à des valeurs de référence
exprimées sous forme de niveaux d’intervention des pouvoirs publics en situation d’urgence radiologique, tels que
définis par l’Autorité de sûreté nucléaire en application de l’article R. 1333-80 du code de la santé publique.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P28/ 97 -
 Article 4.7.1 de la décision n° 2015-DC-532 de l’ASN du 17 novembre 2015 relative au rapport de sûreté des
installations nucléaires de base
Pour l’application de l’article 3.7 de l’arrêté du 7 février 2012 susvisé, le rapport de sûreté présente les
conséquences potentielles, radiologiques ou non, des incidents et accidents, à l’exception des accidents mentionnés
à l’article 4.4.9 de la présente annexe. Le rapport de sûreté précise notamment les points suivants :
 les hypothèses, les règles et les méthodes retenues pour établir l’évaluation,
 en cas de rejets radiologiques, la description de la forme physicochimique des radionucléides rejetés les
plus contributeurs aux conséquences des rejets,
 pour les incidents ou accidents conduisant à des rejets de substances dangereuses ou radioactives dans
l’environnement, les conséquences directes de la phase de rejet, principalement liées aux rejets
atmosphériques et aux éventuels rejets directs dans les sols et le milieu aquatique,
 pour les accidents conduisant aux rejets radioactifs les plus représentatifs, l’évaluation en fonction du
temps :
o des conséquences liées aux rejets en termes d’activité surfacique et éventuellement de débit de
dose ambiant,
o de la contamination massique des denrées agricoles et, le cas échéant, de la contamination des
ressources en eau.

[Link].2 Pour les conditions de fonctionnement de référence pour lesquelles seuls des calculs de rejets
sont réalisés, telles que la rupture de réservoir(s) d’effluents radioactifs ou un accident de manutention
d’un élément combustible, un aggravant est retenu au regard de la fonction de sûreté de confinement
des substances radioactives.

[Link].3 L’évaluation des conséquences radiologiques des événements du domaine de conception de

référence permet de vérifier le caractère suffisant des dispositions prises à la conception, en cohérence
avec les objectifs de sûreté mentionnés au chapitre II.1 du présent guide. Des critères d’appréciation
des conséquences pour les personnes et l’environnement, permettant de respecter les objectifs
mentionnés au chapitre II.1 du présent guide, sont définis pour chaque catégorie de condition de
fonctionnement de référence.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P29/ 97 -
 III.3.2 Agressions internes de référence (hors actes de
malveillance)

III.3.2.1 Objectifs de sûreté et principes de conception associés

aux agressions internes de référence

[Link].1 La défense en profondeur, appliquée à la protection contre les agressions internes de

référence, a pour objectif d’en limiter la survenue et les conséquences par la mise en place de
dispositions concrètes.

[Link].2 Pour chaque agression interne de référence, des dispositions sont mises en œuvre afin :
 d’en limiter la survenue ;
 de la détecter, lorsque nécessaire ;
 de garantir la disponibilité d’un ensemble d’EIP permettant l’accomplissement des fonctions de
sûreté radiologiques en dépit de l’ensemble des effets (directs et indirects) de l’agression interne
considérée, compte tenu des règles d’étude de cette agression (cf. chapitre III.3.2.3) ;
 que les justifications de l’exclusion des événements déclencheurs mentionnés à l’article 3.2.2 ne
soient pas remises en cause ;
 de permettre l’atteinte puis le maintien d’un état sûr.

En particulier, les bâtiments abritant des EIP nécessaires pour amener et maintenir le réacteur dans un
état sûr ainsi que les bâtiments contenant des substances radioactives en quantité non négligeable sont
conçus en prenant en compte les agressions internes.

[Link].3 La conception des dispositions de maîtrise des risques liés à l’incendie répond aux exigences
de la décision n° 2014-DC-0417 de l’Autorité de sûreté nucléaire du 28 janvier 2014 relative aux règles
applicables aux installations nucléaires de base (INB) pour la maîtrise des risques liés à l’incendie.

Article 1.2.1 de la décision n° 2014-DC-0417 de l’Autorité de sûreté nucléaire du 28 janvier 2014 relative aux
règles applicables aux installations nucléaires de base (INB) pour la maîtrise des risques liés à l’incendie
En application de l’article 3.1 de l’arrêté du 7 février 2012 susvisé, l’exploitant applique le principe de défense en
profondeur pour la maîtrise des risques liés à l'incendie.
Ainsi, l’exploitant met en œuvre des niveaux de défense successifs et suffisamment indépendants visant,
notamment, à protéger ou assurer les fonctions définies à l’article 3.4 de l’arrêté du 7 février 2012 susvisé.
Ces niveaux s’appuient, en particulier, sur :
 la prévention des départs de feu ;
 la détection et l’extinction rapide des départs de feu pour, d’une part, empêcher que ceux-ci ne conduisent à un
incendie et d’autre part, rétablir une situation de fonctionnement normal ou, à défaut, atteindre puis maintenir
un état sûr de l’INB ;
 la limitation de l’aggravation et de la propagation d’un incendie qui n’aurait pas pu être maîtrisé afin de
minimiser son impact sur la sûreté nucléaire, et de permettre l’atteinte ou le maintien d’un état sûr de l’INB ;
 la gestion des situations d’accident résultant d’un incendie n’ayant pu être maîtrisé de façon à limiter les
conséquences pour les personnes et l’environnement.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P30/ 97 -
[Link].4 La conception vise à ce qu’une agression interne de référence n’entraîne pas un accident13.

[Link].5 En application du II de l’article 3.1 de l’arrêté du 7 février 2012, les risques de défaillances de
mode commun dues à des agressions internes de référence sont réduits par une séparation physique ou
géographique adéquate des parties redondantes des systèmes accomplissant une fonction de sûreté
radiologique.

III.3.2.2 Événements pris en compte au titre des agressions

internes de référence

[Link].1 Les agressions internes de référence à prendre en compte dans la démonstration de sûreté
nucléaire sont celles mentionnées à l’article 3.5 de l’arrêté du 7 février 2012. La prise en compte des
agressions liées aux actes de malveillance fait l’objet du chapitre III.5 du présent guide.

Article 3.5 de l’arrêté du 07/02/2012

Les agressions internes à prendre en considération dans la démonstration de sûreté nucléaire comprennent :
- les émissions de projectiles, notamment celles induites par la défaillance de matériels tournants ;
- les défaillances d’équipements sous pression ;
- les collisions et chutes de charges ;
- les explosions ;
- les incendies ;
- les émissions de substances dangereuses ;
- les inondations trouvant leur origine dans le périmètre de l’installation nucléaire de base ;
- les interférences électromagnétiques ;
- les actes de malveillance ;
- toute autre agression interne que l’exploitant identifie ou, le cas échéant, que l’Autorité de sûreté nucléaire juge
nécessaire de prendre en compte ;
- les cumuls plausibles entre les agressions ci-dessus.

[Link].2 Les cumuls plausibles mentionnés à l’article 3.2.4 du présent guide incluant les agressions
internes de référence sont pris en compte, en prenant notamment en compte les éventuelles
dépendances entre les événements déclencheurs.

[Link].3 Les agressions internes de référence sont, en fonction de leur caractère plausible, prises en
compte lors de la phase long terme des conditions de fonctionnement de référence postérieurement à
l’atteinte de l’état sûr. Dans ce cas de cumul conventionnel, la défaillance postulée au titre de l’aggravant
et le cumul d’un manque de tension externe ne sont pas appliqués.

13 Toutefois, certains événements déclencheurs constituent en eux-mêmes, à la fois, une agression interne et un accident (par
exemple, une rupture de tuyauterie).

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P31/ 97 -
 III.3.2.3 Règles d’études des agressions internes de référence

[Link].1 Les études des agressions internes de référence sont réalisées en suivant des règles d’étude
adaptées à l’agression considérée et en tenant compte de l’état de l’installation tel qu’il est connu ou
prévisible, notamment compte tenu du retour d’expérience d’installations similaires.

Les règles d’étude des agressions internes de référence définissent en particulier les modalités de prise
en compte :
 des conditions initiales tenant compte du domaine de fonctionnement normal prévu de
l’installation ;
 des actions des opérateurs ;
 des états sûrs visés pour l’installation ;
 des EIP et autres équipements concernés de l’installation compte tenu de leur classement ;
 des indisponibilités des EIP requis, compte tenu des programmes de maintenance préventive.

Les règles d’étude des agressions internes de référence prévoient de retenir l’aggravant le plus pénalisant
au regard de l’état sûr visé. Les défaillances à envisager en tant qu’aggravant tiennent compte des
recommandations figurant au chapitre IV.2.3. Les conditions permettant, le cas échéant, de ne pas
retenir comme aggravant la défaillance de certains EIP sont justifiées. Ce peut être le cas pour des
composants IP passifs si leur défaillance est très improbable.

[Link].2 L’étude d’une agression interne de référence :

 suppose que tous les EIP susceptibles d’être affectés par l’agression ou ses conséquences et
a. non robustes à cette agression ou à ses conséquences, ou
b. non protégés contre cette agression ou ses conséquences ;
sont défaillants, si leur défaillance est pénalisante ;
 tient compte de la faisabilité des actions humaines à réaliser compte tenu de l’agression et de ses
conséquences ;
 analyse l’ensemble des effets directs et indirects induits par cette agression, y compris ceux
induits par les dispositions mises en œuvre pour faire face à l’agression.

[Link].3 Les conséquences des agressions internes de référence sont examinées dans tous les états de
fonctionnement normal du réacteur, y compris dans les états d’arrêt, en tenant compte des
configurations spécifiques rencontrées dans ces états. Les combinaisons non plausibles d’agression
interne et de conditions initiales peuvent, sous réserve de justification, ne pas être examinées.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P32/ 97 -
 III.3.2.4 Evaluation des conséquences radiologiques des
agressions internes de référence

[Link].1 Si l’agression interne de référence conduit à des rejets radioactifs, les conséquences
radiologiques associées sont évaluées conformément aux dispositions de l’article 3.7 de l’arrêté du 7
février 2012 et de l’article 4.7.1 de la décision 2015-DC-0532 de l’Autorité de sûreté nucléaire du 17
novembre 2015 relative au rapport de sûreté des installations nucléaires de base. La méthode
d’évaluation de ces conséquences radiologiques est similaire à celle retenue pour l’évaluation des
conséquences radiologiques des conditions de fonctionnement de référence.

[Link].2 L’évaluation des conséquences radiologiques des agressions internes de référence permet de
vérifier le caractère suffisant des dispositions prises à la conception, en cohérence avec les objectifs de
sûreté mentionnés au chapitre II.1 du présent guide. Les critères d’appréciation des conséquences
radiologiques des situations résultant d’une agression interne de référence sont les mêmes que ceux
mentionnés au [Link].3 pour la catégorie de conditions de fonctionnement de référence de fréquence
d’occurrence équivalente.

III.3.3 Agressions externes de référence (hors actes de

malveillance)

III.3.3.1Objectifs de sûreté et principes de conception associés

aux agressions externes de référence

[Link].1 Pour chaque agression externe de référence, des dispositions sont mises en œuvre :
 afin de garantir la disponibilité d’un ensemble d’EIP permettant l’accomplissement des
fonctions de sûreté radiologiques en dépit de l’ensemble des effets (directs et indirects) de
l’agression externe considérée, compte tenu des règles d’étude de cette agression (cf. chapitre
III.3.3.3) ;
 afin que les justifications de l’exclusion des événements déclencheurs mentionnés à l’article
3.2.2 ne soient pas remises en cause ;
 afin de permettre l’atteinte puis le maintien d’un état sûr.

En particulier, les bâtiments abritant des EIP nécessaires pour amener et maintenir le réacteur dans un
état sûr, ainsi que les bâtiments contenant des substances radioactives en quantité non négligeable sont
conçus en prenant en compte les agressions externes.

[Link].2 Les dispositions prises au regard des agressions externes reposent en priorité sur des
dispositifs statiques.
Des dispositions permettant l’alerte et le suivi du développement de l’agression en cas d’agression
externe sont mises en œuvre, lorsque pertinent (notamment pour les agressions externes prévisibles).

[Link].3 Les dispositions prises au regard des agressions externes de référence ne remettent pas en
cause la protection contre les autres événements du domaine de conception de référence

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P33/ 97 -
[Link].4 La conception vise à ce qu’une agression externe de référence n’entraîne pas un accident14.
De plus, les systèmes IP accomplissant les fonctions de sûreté radiologiques dans les conditions DBC-3
et 4 restent en mesure d’accomplir ces fonctions après un séisme de référence et une inondation
externe de référence.
Plus généralement, la bonne pratique consiste à ce que les systèmes IP accomplissant les fonctions de
sûreté radiologiques dans les conditions DBC-3 et 4 restent en mesure d’accomplir ces fonctions après,
voire pendant lorsque c’est pertinent, une agression externe de référence.

[Link].5 La démonstration de sûreté relative à l’étude des agressions externes de référence comprend
les cinq étapes suivantes :
 la sélection des agressions externes pertinentes pour l’installation ;
 la caractérisation des agressions externes de référence sélectionnées ;
 la définition des modalités de prise en compte des agressions externes de référence pour
l’installation nucléaire ;
 la détermination des EIP dont la fonction doit rester assurée pendant ou après les agressions
externes retenues ;
 la justification du caractère suffisant des dispositions prises au regard des agressions externes
retenues.

III.3.3.2 Evénements pris en compte au titre des agressions

externes de référence et caractérisation

[Link].1 Les agressions externes sont liées au site où l’installation est implantée et peuvent affecter
consécutivement ou simultanément tout ou partie des installations du site. De ce fait, conformément
aux dispositions du deuxième alinéa du II de l’article 3.1 de l’arrêté du 7 février 2012, une attention
particulière est portée au choix du site.

Article 3.1 de l’arrêté du 07/02/2012

II. – La mise en œuvre du principe de défense en profondeur s’appuie notamment sur :
– le choix d’un site adapté, tenant compte notamment des risques d’origine naturelle ou industrielle pesant sur
l’installation ;

14 Le cas particulier du MDTE induit par un séisme est traité au paragraphe [Link].6.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P34/ 97 -
[Link].2 Les agressions externes à prendre en compte dans la démonstration de sûreté nucléaire sont
celles mentionnées à l’article 3.6 de l’arrêté du 7 février 2012. La prise en compte des agressions liées
aux actes de malveillance fait l’objet du chapitre III.5 du présent guide.

Article 3.6 de l’arrêté du 07/02/2012

Les agressions externes à prendre en considération dans la démonstration de sûreté nucléaire comprennent :
- les risques induits par les activités industrielles et les voies de communication, dont les explosions, les
émissions de substances dangereuses et les chutes d’aéronefs ;
- le séisme ;
- la foudre et les interférences électromagnétiques ;
- les conditions météorologiques ou climatiques extrêmes ;
- les incendies ;
- les inondations trouvant leur origine à l’extérieur du périmètre de l’installation nucléaire de base, y compris leur
effet dynamique ;
- les actes de malveillance ;
- toute autre agression externe que l’exploitant identifie ou, le cas échéant, que l’Autorité de sûreté nucléaire juge
nécessaire de prendre en compte ;
- les cumuls plausibles entre les agressions ci-dessus.

[Link].3 L’exclusion d’une agression externe parmi celles de la liste citée dans l’article 3.6 de l’arrêté du
7 février 2012 fait l’objet d’une justification reposant sur une approche conservative concluant, avec un
haut degré de confiance, que l’agression ne peut pas affecter l’installation ou que l’agression a une
fréquence d’occurrence extrêmement faible.

[Link].4 Les cumuls plausibles mentionnés à l’article 3.2.4 du présent guide incluant les agressions
externes de référence sont pris en compte, en prenant notamment en compte les éventuelles
dépendances entre les événements déclencheurs.
Une attention particulière est portée aux agressions externes présentant une origine commune15.

[Link].5 La sélection et la caractérisation des agressions externes de référence retenues comprennent

notamment :
 leurs évolutions prévisibles pendant la période d’exploitation du réacteur, en particulier celles
des conditions climatiques et de la météorologie ;
 les données disponibles concernant le site du réacteur et son environnement naturel et
industriel, en particulier les données issues de mesures ou basées sur des faits historiques relatés
ou constatés.

15 A titre d’exemple, le guide ASN n°13 sur la protection des installations nucléaires de base contre les inondations externes
mentionne, dans l’article 2.3.2 que « des conjonctions ont été retenues notamment lorsqu’une dépendance est avérée ou présumée entre des
événements susceptibles de causer une inondation. »

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P35/ 97 -
[Link].6 Les agressions externes de référence
retenues en application des articles [Link].2 et Article 3.8 de l’arrêté du 07/02/2012
[Link].3 du présent guide sont caractérisées à l’aide I. – La démonstration de sûreté nucléaire s’appuie
de méthodes déterministes et, lorsque possible et sur …
– des méthodes appropriées, explicitées et validées,
pertinent, probabilistes.
intégrant des hypothèses et des règles adaptées aux
Ces méthodes prennent en compte l’ensemble des incertitudes et aux limites des connaissances des
données disponibles et, lorsque cela est possible, phénomènes mis en jeu ;
permettent de déterminer une relation entre la
sévérité de l’agression externe et sa fréquence annuelle de dépassement16. Elles répondent de plus aux
caractéristiques fixées au I de l’article 3.8 de l’arrêté du 7 février 2012.

[Link].7 Pour déterminer les niveaux d’aléa à retenir pour les agressions naturelles externes de
référence, une valeur repère de 10-4/an en termes de fréquence annuelle de dépassement de l’aléa
considéré est visée.
Néanmoins, lorsque, pour certaines agressions naturelles externes de référence, la fréquence annuelle de
dépassement de l’aléa ne peut pas être calculée ou lorsque les incertitudes sur cette valeur sont trop
élevées, un « événement »17 est néanmoins retenu et justifié en visant un objectif de sûreté équivalent.

[Link].8 Les niveaux d’aléa ou « événements » retenus pour la caractérisation des agressions externes
de référence sont justifiés. En particulier, leur sévérité présente des marges par rapport à celle des
« événements » historiques pertinents.

[Link].9 Pour le séisme à retenir dans le domaine de conception de référence, la valeur de l’accélération
maximale du sol n’est pas inférieure à 0,1g à la fréquence infinie (où « g » est l’accélération de la
pesanteur à la surface de la Terre).

16A titre illustratif, le débit du cours d’eau et sa fréquence annuelle de dépassement

17A titre illustratif, la prise en compte de pluies centennales et de l’indisponibilité des accès au réseau local d’évacuation des
eaux pluviales de l’installation peut contribuer à la définition d’une tel « événement »

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P36/ 97 -
 III.3.3.3 Règles d’étude des agressions externes de référence

En général, la démarche de protection contre les agressions externes de référence consiste à expliciter
les « cas de charge » à considérer pour chaque agression externe puis à dimensionner ou protéger au
regard de ces cas de charge les structures et équipements qui doivent y résister. Un découplage entre
l’agression elle-même et d’éventuels événements induits est ainsi recherché.
Lorsqu’un tel découplage n’est pas possible ou n’est pas recherché, des études sont alors menées selon
les règles décrites ci-après et permettent de s’assurer in fine que les objectifs de sûreté sont respectés.

[Link].1 Les études des agressions externes de référence sont réalisées en suivant des règles d’étude
adaptées à l’agression considérée et en tenant compte de l’état de l’installation et de son lieu
d’implantation tels qu’ils sont connus ou prévisibles.

Les règles d’étude des agressions externes de référence définissent en particulier les modalités de prise
en compte :
 des conditions initiales tenant compte du domaine de fonctionnement normal prévu de
l’installation ;
 des actions des opérateurs ;
 des états sûrs visés pour l’installation ;
 des EIP et autres équipements concernés de l’installation compte tenu de leur classement ;
 des indisponibilités des EIP requis, compte tenu des programmes de maintenance préventive.

Les règles d’étude des agressions externes de référence prévoient de retenir l’aggravant le plus
pénalisant au regard de l’état sûr visé. Les défaillances à envisager en tant qu’aggravant tiennent compte
des recommandations figurant au chapitre IV.2.3. Les conditions permettant, le cas échéant, de ne pas
retenir comme aggravant la défaillance de certains EIP sont justifiées. Ce peut être le cas pour des
composants IP passifs si leur défaillance est très improbable.

[Link].2 L’étude d’une agression externe de référence :

 analyse l’ensemble des effets directs et indirects induits par cette agression et par les
dispositions mises en œuvre pour y faire face ;
 suppose que tous les EIP susceptibles d’être affectés par l’agression ou ses conséquences et
a. non robustes à cette agression ou à ses conséquences ou ;
b. non protégés contre cette agression ou ses conséquences ;
sont défaillants, si leur défaillance est pénalisante ;
 prend en compte des chargements établis sur la base d’une démarche conservative ;
 tient compte du fait qu’une agression externe peut affecter simultanément plusieurs voies de
systèmes IP, plusieurs niveaux de la défense en profondeur, différentes installations du site,
voire les infrastructures régionales aux alentours du site. À cet égard, une attention particulière
est portée au risque d’isolement (accessibilité, réseau électrique et réseaux de communication...)
du site et à ses conséquences, notamment en termes de conduite des installations ;
 tient compte de la faisabilité des actions humaines à réaliser compte tenu de l’agression et de ses
conséquences ;
 tient compte, le cas échéant, de l’aspect prédictible et de la cinétique de l’agression.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P37/ 97 -
[Link].3 Les conséquences des agressions externes de référence sont examinées dans tous les états de
fonctionnement du réacteur, y compris dans les états d’arrêt, en tenant compte des configurations
spécifiques rencontrées dans ces états. Les combinaisons non plausibles d’agression externe et de
conditions initiales peuvent, sous réserve de justification, ne pas être examinées.

III.3.3.4 Evaluation des conséquences radiologiques des

agressions externes de référence

[Link].1 Si l’agression externe de référence conduit à des rejets radioactifs, les conséquences
radiologiques associées sont évaluées conformément aux dispositions de l’article 3.7 de l’arrêté du 7
février 2012 et de l’article 4.7.1 de la décision 2015-DC-0532 de l’Autorité de sûreté nucléaire du 17
novembre 2015 relative au rapport de sûreté des installations nucléaires de base. La méthode
d’évaluation de ces conséquences radiologiques est similaire à celle retenue pour l’évaluation des
conséquences radiologiques des conditions de fonctionnement de référence.

[Link].2 L’évaluation des conséquences radiologiques des agressions externes de référence permet de
vérifier le caractère suffisant des dispositions prises à la conception, en cohérence avec les objectifs de
sûreté mentionnés au chapitre II.1 du présent guide. Les critères d’appréciation des conséquences
radiologiques des situations résultant d’une agression externe de référence sont les mêmes que ceux
mentionnés au [Link].3 pour les conditions de fonctionnement de référence de catégorie 4.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P38/ 97 -
 III.4 Domaine de conception étendu

En lien avec les objectifs énoncés au chapitre II.1.2, des dispositions sont mises en œuvre afin de :
 renforcer la capacité de l’installation à faire face à des événements déclencheurs plus complexes
ou plus sévères que ceux pris en compte dans le domaine de conception de référence ;
 limiter les rejets de substances radioactives dans l’environnement lors de ces événements.
Les situations qui découlent de ces événements déclencheurs constituent le domaine de conception
étendu.

III.4.1 Événements pris en compte dans le domaine de

conception étendu et objectifs
[Link] La liste des événements à retenir dans le domaine de conception étendu repose sur des
considérations déterministes et probabilistes, éventuellement confortées par des jugements d’experts.
Les événements du domaine de conception étendu sont :
 les conditions dites « DEC-A » pour lesquelles la fusion de combustible doit être prévenue.
Elles considèrent a priori, au regard de l’objectif de fréquence de fusion de combustible :
o les cumuls d’une condition DBC et de la défaillance de cause commune sur les parties
redondantes d’un système IP nécessaire à la maîtrise de cette condition DBC ;
o les défaillances de cause commune sur les systèmes IP utilisés en fonctionnement normal.
Les études probabilistes permettent de confirmer et de compléter si nécessaire la liste des
conditions DEC-A (voir article 3.6.1) ;
 les conditions dites « DEC-B » pour lesquelles la fusion de combustible est postulée malgré les
dispositions prises pour la prévenir. Les accidents mentionnés à l’article 3.2.6 ne font pas partie
du domaine de conception étendu ;
 les agressions externes naturelles d’une plus grande sévérité que celles considérées dans le
domaine de conception de référence (cf. le chapitre III.4.6 pour les spécificités
correspondantes).

[Link] La prise en compte de ces événements vise :

 pour les conditions DEC-A, à démontrer la capacité de l’installation à prévenir la fusion de
combustible pour des séquences accidentelles complexes plausibles. Elle permet d’identifier, si
nécessaire, les dispositions qui doivent être mises en œuvre afin de prévenir les accidents avec
fusion de combustible, en supplément des dispositions identifiées à la suite de l’analyse des
événements déclencheurs du domaine de conception de référence ;
 pour les conditions DEC-B, à définir les dispositions visant à limiter dans l’espace et dans le
temps les conséquences des accidents avec fusion de combustible ;
 pour les agressions externes naturelles, à s’assurer de l’existence de marges suffisantes au-delà
du domaine de conception de référence au regard des objectifs fixés au [Link].

[Link] Lorsque c’est pertinent, l’ensemble des réacteurs et des piscines d’entreposage des assemblages
de combustible du site est considéré dans le domaine de conception étendu.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P39/ 97 -
[Link] Afin de déterminer les conditions DEC-A, une attention appropriée est notamment portée aux
situations plausibles de longue durée affectant les alimentations électriques ou l’évacuation de la
puissance résiduelle vers la source froide.

III.4.2 Exigences associées aux conditions DEC-A et DEC-B

[Link] Lors d’une condition DEC-A, l’installation est amenée et maintenue dans un état sûr.

[Link] Les exigences de sûreté associées aux conditions DEC-A sont les suivantes :
 la réactivité est maîtrisée ; la sous-criticité du cœur est assurée après activation des dispositions
mentionnées à l’article [Link] et maintenue sur le long terme ;
 l’évacuation de la puissance résiduelle est assurée. En particulier, pour la piscine d’entreposage
de combustible, l’évacuation de la puissance résiduelle par ébullition peut être temporairement
acceptable pendant le délai d’indisponibilité des moyens de refroidissement à l’origine de la
condition DEC-A, si un niveau d’eau suffisant (cf. chapitre VII.3.3) est maintenu dans la
piscine ;
 le confinement des substances radioactives est assuré de telle sorte que les objectifs de sûreté
énoncés au chapitre II.1.2 applicables aux accidents sans fusion de combustible soient
respectés.

[Link] Lors d’une condition DEC-B, le réacteur est amené et maintenu durablement dans un état dans
lequel :
 le corium est refroidi ;
 la sous-criticité et l’évacuation de la puissance résiduelle sont assurées ;
 le confinement des substances radioactives est assuré.

[Link] Les exigences de sûreté associées aux conditions DEC-B sont les suivantes :
 le confinement des substances radioactives est maîtrisé de telle sorte que les objectifs
mentionnés au chapitre II.1.2 applicables aux accidents avec fusion de combustible soient
respectés (voir aussi chapitre III.4.5) ;
 la sous-criticité du corium et l’évacuation de la puissance résiduelle sont assurées sur le long
terme. Néanmoins :
o la sous-criticité du corium peut ne pas être assurée temporairement si cela ne remet pas
en cause l’évacuation de la puissance résiduelle ;
o la puissance résiduelle peut temporairement ne pas être évacuée si cela ne remet pas en
cause la maîtrise du confinement des substances radiologiques ; ceci conduit notamment à
des exigences concernant la conception de la 3ème barrière de confinement.

[Link] La conception des dispositions visant à limiter les conséquences des accidents avec fusion de
combustible s’appuie sur l’état de l’art en matière de compréhension et de modélisation du déroulement
des accidents avec fusion de combustible et sur des travaux appropriés de recherche et développement
(essais spécifiques, outils de simulation…).
Elle tient compte des incertitudes afférentes à certains phénomènes et à leur modélisation.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P40/ 97 -
 III.4.3 Critères techniques d’acceptation associés au domaine
de conception étendu
[Link] Des critères techniques d’acceptation sont définis pour l’étude des événements du domaine de
conception étendu afin de décliner de manière opérationnelle les objectifs et les exigences de sûreté. Ils
peuvent être adaptés par rapport à ceux retenus pour les études du domaine de conception de
référence.

III.4.4 Règles d’étude dans le domaine de conception étendu

[Link] Les règles et méthodes d’études des événements du domaine de conception étendu peuvent être
adaptées par rapport à celles retenues pour l’étude des conditions de fonctionnement de référence afin
d’être moins conservatifs par exemple en ne prenant pas en compte d’aggravant ou en retenant des
hypothèses moins pénalisantes.

[Link] L’étude des événements du domaine de conception étendu prend en compte :

 l’environnement de l’installation et sa localisation ;
 l’aptitude des EIP à accomplir leurs missions compte tenu des conditions rencontrées lors des
situations retenues ;
 la faisabilité des actions prévues dans le cadre de la gestion des situations retenues, en prenant
en compte les délais de mise en œuvre d’éventuels moyens mobiles présents ou non sur le site ;
 les apports des études probabilistes de sûreté.

III.4.5 Évaluation des conséquences radiologiques dans le

domaine de conception étendu
[Link] Les conséquences radiologiques des événements du domaine de conception étendu sont
évaluées conformément aux dispositions de l’article 3.7 de l’arrêté du 7 février 2012 et de l’article 4.7.1
de la décision 2015-DC-0532 de l’Autorité de sûreté nucléaire du 17 novembre 2015 relative au rapport
de sûreté des installations nucléaires de base.

[Link] L’évaluation des conséquences radiologiques des événements du domaine de conception étendu
permet de vérifier le caractère suffisant des dispositions prises à la conception, en cohérence avec les
objectifs de sûreté mentionnés au chapitre II.1 du présent guide.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P41/ 97 -
 III.4.6 Agressions externes naturelles
Les articles suivants apportent des précisions en termes d’objectifs, d’exigences, d’événements à
prendre en compte, de règles d’étude pour l’analyse des agressions externes naturelles dans le domaine
de conception étendu. Ceux-ci résultent notamment des enseignements de l’accident des réacteurs de
Fukushima Dai-ichi et des évaluations complémentaires de sûreté.

[Link] La prise en compte des agressions externes naturelles dans le domaine de conception étendu
s’inscrit dans la démarche visant la fréquence de fusion de combustible mentionnée à l’article [Link] et
l’objectif de rejets limités dans l’espace et dans le temps en situation avec fusion du cœur.
Dans ce cadre, la conception vise à ce que :
 les fonctions fondamentales de sûreté permettant :
o d’éviter la fusion de combustible en piscine ;
o de prévenir si possible la fusion du cœur et, en tout état de cause, d’en maîtriser les effets ;
demeurent opérationnelles ;
 les justifications de l’exclusion des événements déclencheurs mentionnés à l’article 3.2.2 ne
soient pas remises en cause.

[Link] Pour l’identification des agressions externes naturelles à retenir dans le domaine de conception
étendu, la sévérité de l’agression en fonction de sa fréquence annuelle de dépassement estimée est
établie18, lorsque cela est raisonnablement possible.

Pour les agressions naturelles externes dont la fréquence annuelle de dépassement de l’aléa ne peut pas
être calculée, ou lorsque les incertitudes sur cette valeur sont trop élevées, un « événement » est
néanmoins retenu et justifié en visant un objectif de sûreté équivalent.

[Link] La conception des EIP nécessaires pour faire face aux agressions externes naturelles dans le
domaine de conception étendu est réalisée selon des règles de conception et de construction codifiées
ou, à défaut, conformes aux règles de l’art. Les dispositions de l’article [Link] s’appliquent.

[Link] L’analyse des agressions externes naturelles retenues dans le domaine de conception étendu
considère notamment que ces agressions ou cumuls plausibles d’agressions sont susceptibles d’affecter :
 plusieurs EIP, notamment des EIP redondants ou diversifiés participant à la même fonction de
sûreté s’ils ne sont pas protégés contre ou robustes à l’agression ;
 l’ensemble ou toute partie des installations d’un même site, de façon durable19 ;
 l’environnement du site de l’installation (notamment les éventuelles infrastructures présentes
dans le voisinage de l’installation) ;
 d’éventuelles dispositions extérieures au site prises pour faire face à l’agression (moyens
matériels mobiles, réapprovisionnement en fioul, etc.).

18 Le niveau d’aléa dont le dépassement est extrêmement improbable avec un haut degré de confiance est identifié lorsque
cela est possible.
19 Lorsque c’est pertinent, la conception des dispositions mentionnées à l’article [Link] tient compte du fait que les

événements du domaine de conception étendu, en particulier les agressions externes – naturelles ou non - sont susceptibles
d’affecter plusieurs installations présentes sur le même site pendant une longue durée.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P42/ 97 -
 III.5 Agressions constituées par des actes de malveillance
3.5.1 Les agressions, tant internes qu’externes, constituées par les actes de malveillance sont prises en
compte à la conception de l’installation. L’étude de sécurité20 établie en application du 5° du I de
l’article R. 1333-4 du code de la défense en vue de solliciter la demande d’autorisation de détenir des
matières nucléaires détaille les dispositions de prévention et de limitation des conséquences associées.

3.5.2 Compte tenu de l’efficacité escomptée des dispositions de protection contre les actes de
malveillance prévues sur l’installation, la conception prend en compte :
 les événements déclencheurs qui pourraient malgré cela résulter des actes malveillants envisagés
dans le cadre de l’étude de sécurité ;
 les situations d’accidents pouvant résulter de ces événements déclencheurs.
Les conséquences de ces accidents sont évaluées conformément aux dispositions de l’article 3.7 de
l’arrêté du 7 février 2012 et de l’article 4.7.1 de la décision n° 2015-DC-532 de l’ASN du 17 novembre
2015 relative au rapport de sûreté des installations nucléaires de base.

3.5.3 Les dispositions mises en œuvre au titre de l’article 3.5.1 du présent guide et les dispositions mises
en œuvre au titre de la démonstration de sûreté ne sont pas incompatibles.

III.6 Utilisation des études probabilistes de sûreté

3.6.1 Les analyses probabilistes mentionnées à l’article 3.3 de l’arrêté du 7 février 2012 et les études
probabilistes de sûreté (EPS) mentionnées à l’article 8.1.2 de cet arrêté sont réalisées afin d’orienter ou
de conforter les choix de conception des systèmes assurant une fonction de sûreté radiologique,
notamment en termes de redondance et de diversification au regard des objectifs mentionnés au
chapitre II.1 du présent guide.
Les EPS sont notamment utilisées afin :
 d’évaluer la fréquence globale de fusion de combustible et la fréquence des rejets, qui
contribuent à l’appréciation du niveau de sûreté de l’INB ;
 d’apporter un éclairage sur le caractère extrêmement improbable des situations mentionnées à
l’article 3.2.6 ;
 de mettre en évidence d’éventuels scénarios ayant une contribution largement prépondérante à
la fréquence calculée de fusion de combustible ou aux fréquences calculées de rejets ;
 d’apprécier la robustesse de l’installation face aux agressions, lorsque cela est faisable ;
 de confirmer et de compléter si nécessaire la liste des scénarios à retenir pour l’étude des
conditions DEC-A et de vérifier le caractère suffisant des dispositions mises en œuvre à la suite
de ces études afin de prévenir les accidents avec fusion de combustible, au regard de l’objectif
de fréquence de fusion de combustible exprimé à l’article [Link] ;
 de vérifier le caractère suffisant des dispositions retenues pour limiter les conséquences des
accidents avec fusion de combustible.

20 Les modalités de réalisation de cette étude sont fixées dans l’arrêté du 3 août 2011 relatif aux modalités de réalisation de
l’étude prévue à l’article R. 1333-4 du code de la défense pour la protection des matières nucléaires et de leurs installations.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P43/ 97 -
3.6.2 Les EPS prennent en compte l’ensemble des événements déclencheurs pertinents. Néanmoins, si,
pour certaines agressions, il n’existe pas de méthode éprouvée ou si les données nécessaires ne sont pas
disponibles, des alternatives sont mises en œuvre pour évaluer la contribution de ces agressions au
risque présenté par l’installation. Les EPS prennent notamment en compte :
 l'ensemble des états initiaux de fonctionnement normal de l’installation :
 les événements pouvant affecter simultanément le réacteur et la piscine d’entreposage des
assemblages de combustible ;
 les événements pouvant affecter simultanément l’ensemble des installations d’un site y compris
pendant une longue durée.
L’EPS de niveau 1 est réalisée avec un niveau de détails adapté aux enjeux. Elle établit, pour chaque
événement déclencheur pris en compte, les séquences accidentelles résultant du succès ou de l’échec
des systèmes et actions de conduite prévues pour assurer les fonctions de sûreté radiologiques ; elle
permet d'identifier les séquences menant à la fusion de combustible et d’évaluer leurs fréquences.
L’EPS de niveau 2 est réalisée avec un niveau de détails adapté aux enjeux. Elle modélise les
phénomènes physiques survenant lors d’un accident avec fusion de combustible et les dispositions
mises en œuvre pour en limiter les conséquences ; l’EPS de niveau 2 et les études réalisées en support
permettent d’évaluer la nature, l’importance et les fréquences des rejets hors de l’enceinte de
confinement.

3.6.3 Conformément aux articles 3.3 et Article 3.8 de l’arrêté du 07/02/2012

3.8 de l’arrêté du 7 février 2012, les EPS I. – La démonstration de sûreté nucléaire s’appuie sur :
sont réalisées selon une méthodologie – des données à jour et référencées ; elle tient notamment compte
appropriée, prenant en compte des informations disponibles mentionnés à l’article 2.7.2 ;
l’expérience internationale disponible et – des méthodes appropriées, explicitées et validées, intégrant des
hypothèses et des règles adaptées aux incertitudes et aux limites
intégrant les dimensions techniques, des connaissances des phénomènes mis en jeu ;
organisationnelles et humaines. Les – des outils de calcul et de modélisation qualifiés pour les
hypothèses utilisées dans les EPS sont domaines dans lesquels ils sont utilisés.
aussi réalistes que le permet l’état des II. – L’exploitant précise et justifie ses critères de validation des
connaissances afin d’éviter d’introduire méthodes, de qualification des outils de calcul et de modélisation
des conservatismes excessifs qui et d’appréciation des résultats des études réalisées pour démontrer
la sûreté nucléaire.
fausseraient la hiérarchisation des
séquences ou l’évaluation des
améliorations possibles.

3.6.4 Les résultats des EPS sont présentés avec des analyses d’incertitude et de sensibilité et les limites
des EPS sont identifiées autant que possible.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P44/ 97 -
 III.7 Principes imposés au développement de méthodes
d’études
3.7.1 En application de l’article 3.8 de l’arrêté du 7 février 2012, les méthodes d’études utilisées pour
l’étude des événements du domaine de conception de référence et du domaine de conception étendu
sont explicitées et validées. Elles s’appuient sur des outils de calcul qualifiés et sur des choix de
modélisation validés.

3.7.2 L’élaboration d’une méthode d’étude nécessite tout d’abord de déterminer le (ou les) scénario(s)
accidentel(s) majorant(s). Les phénomènes physiques dominants associés à ce(s) scénario(s) sont ensuite
identifiés et, lorsque l’étude concerne une condition DBC, les paramètres à pénaliser sont recensés. Ces
paramètres sont pénalisés sans toutefois que cette pénalisation entraîne une perte de représentativité du
transitoire calculé par rapport au scénario réel.
De plus, des majorations justifiées sont appliquées de telle sorte que la prise en compte des
phénomènes physiques non modélisés explicitement ne puisse pas mettre en cause les conclusions des
études.

3.7.3 Les méthodes d’études précisent les modalités de prise en compte des incertitudes. Ces
incertitudes font l’objet de justifications, en particulier leur mode de traitement et leurs cumuls, selon
des modalités proportionnées aux enjeux.
Une attention particulière est apportée aux paramètres influençant l’efficacité des forces motrices
passives si elles sont utilisées.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P45/ 97 -
 IV EXIGENCES ET RECOMMANDATIONS GENERALES DE
CONCEPTION
IV.1 Architecture des fonctions de sûreté radiologiques

IV.1.1 Généralités
[Link] L’architecture des fonctions de sûreté radiologiques du réacteur, c’est-à-dire la manière dont les
fonctions de sûreté radiologiques sont assurées par les différents systèmes IP dans l’ensemble des
situations prises en compte dans la conception permet que l’installation puisse satisfaire aux objectifs
mentionnés au chapitre II.1 du présent guide.

[Link] Les spécifications des systèmes IP découlant de l’architecture retenue pour les fonctions de
sûreté radiologiques du réacteur sont suffisamment précises pour permettre la conception de chaque
système IP et assurer la conformité du comportement d’ensemble de l’installation aux objectifs définis
au chapitre II.1 du présent guide.

[Link] En application du principe de défense en

Article 3.1 de l’arrêté du 07/02/2012
profondeur énoncé au II. de l’article 3.1 de
l’arrêté du 7 février 2012, la capacité de II. – La mise en œuvre du principe de défense en
profondeur s’appuie notamment sur :
l’installation à assurer les fonctions de sûreté …
radiologiques pour l’ensemble des incidents et – l’identification des fonctions nécessaires à la
accidents repose sur la qualité de spécification, de démonstration de sûreté nucléaire ;
conception, de réalisation et de contrôle de – une démarche de conception prudente, intégrant des
chaque composant IP, sur l’indépendance en tant marges de dimensionnement et recourant, en tant que de
besoin, à une redondance, une diversification et une
que de besoin entre composants ou systèmes IP,
séparation physique adéquates des éléments importants
la redondance et la diversification des pour la protection qui assurent des fonctions nécessaires
composants ou systèmes IP en tant que de à la démonstration de sûreté nucléaire, pour obtenir un
besoin, et sur la prise en compte des effets directs haut niveau de fiabilité et garantir les fonctions citées à
et indirects des incidents ou accidents dans la l’alinéa précédent ;
conception des structures IP dans lesquelles sont
implantés les EIP.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P46/ 97 -
 IV.1.2 Indépendance entre EIP
[Link] L’architecture des fonctions de sûreté radiologiques du réacteur apporte une indépendance
suffisante entre les niveaux de défense en profondeur définis au chapitre II.2.1 du présent guide. Ceci
requiert une indépendance suffisante entre les systèmes IP participant à différents niveaux de défense
en profondeur.

[Link] L’indépendance entre systèmes IP participant à des niveaux de défense distincts se concrétise
par l’indépendance entre les EIP dont ils sont constitués21. L’indépendance entre EIP s’appuie sur la
mise en œuvre adéquate :
 de diversification ;
 de séparation physique ou d’éloignement suffisant ;
 de limitation :
o de composants partagés y compris pour les systèmes assurant une fonction support ;
o d’informations communes ou qui dépendent d’une même source ;
o d’interactions par des procédures de couplage, de synchronisation, de communication ;
afin d’éviter les défaillances de cause commune et les propagations de défaillance entre ces EIP.

[Link] Les systèmes IP accomplissant les fonctions de sûreté radiologiques dans les conditions DBC 2
à 4 et DEC-A sont autant que nécessaire indépendants des systèmes utilisés lors du fonctionnement
normal du réacteur.

[Link] Afin d’obtenir une indépendance suffisante, les systèmes IP identifiés en application de l’article
[Link] pour gérer les conditions DEC-A sont autant que nécessaire diversifiés des systèmes utilisés
dans les conditions DBC dont ils pallient la défaillance. À cet égard, une attention particulière est
apportée à la conception des systèmes assurant une fonction support.

[Link] Les systèmes IP accomplissant des fonctions de sûreté radiologiques lors des conditions DEC-B
sont, autant que raisonnablement possible, indépendants des systèmes utilisés lors du fonctionnement
normal du réacteur, ainsi que des systèmes intervenant dans les conditions de fonctionnement de
référence de catégories 2 à 4 ou dans les conditions DEC-A. À cet égard, une attention particulière est
apportée à la conception des systèmes assurant une fonction support.
L’indépendance entre systèmes IP est considérée comme raisonnablement possible, si la mise en œuvre
des dispositions correspondantes ne nécessite pas des efforts disproportionnés par rapport au bénéfice
escompté22. Ceci s’apprécie sur la base de considérations déterministes complétées lorsque pertinent par
des considérations probabilistes.

21 Le deuxième niveau de défense a pour objet mettre en œuvre des actions en cas de survenue d’incidents, généralement associés aux
conditions DBC-2, tandis que le troisième niveau permet notamment la maîtrise des accidents correspondant aux conditions DBC-3 et 4.
Or, au titre du chapitre III.3.1.4, les règles d’études des conditions DBC-2 sont identiques à celles des conditions DBC-3 et 4, en
particulier en termes de structures, systèmes et composants pouvant être pris en compte (article [Link].3). Ceci est à considérer dans
l’appréciation de l’indépendance entre les EIP participant au niveau 2 de la défense en profondeur et ceux participant au niveau 3.
22
À titre d’exemple, il n’est pas considéré comme raisonnablement possible que l’enceinte de confinement, ses traversées et leurs organes
d’isolement intervenant dans les conditions DEC-B soient indépendants de ceux intervenant dans les conditions de fonctionnement de
référence de catégories 2 à 4 et les conditions DEC-A.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P47/ 97 -
 IV.1.3 Autonomie de l’installation
[Link] L’installation est autonome pendant une durée compatible avec les possibilités d’intervention
extérieure au site, notamment au regard de son alimentation électrique et de sa source froide, pour
pouvoir gérer les événements du domaine de conception de référence et du domaine de conception
étendu affectant le réacteur ou la piscine d’entreposage des assemblages de combustible, y compris les
événements de longue durée affectant à la fois le réacteur et la piscine d’entreposage des assemblages de
combustible. Une bonne pratique consiste à rechercher une autonomie d’au moins 72h.

IV.1.4 Systèmes IP communs à plusieurs INB ou à un réacteur

et à une piscine d’entreposage des assemblages
de combustible
[Link] Le recours à des EIP communs à plusieurs INB est limité et justifié (par exemple réserve
naturelle d’eau ou digue). En particulier, celui-ci :
 ne remet pas en cause la mise à l’arrêt, le refroidissement et l’évacuation de la chaleur résiduelle
de chacune des INB dans les domaines de conception de référence et étendu ;
 ne réduit pas l’autonomie des sources d’énergie électrique et d’eau de refroidissement de telle
sorte que la situation sur chaque INB ne puisse plus être gérée.

[Link] La présence de systèmes IP communs à un réacteur et à une piscine d’entreposage des

assemblages de combustible :
 ne remet pas en cause la mise à l’arrêt du réacteur, le refroidissement et l’évacuation de la
chaleur résiduelle pour le réacteur et sa piscine d’entreposage dans les domaines de conception
de référence et étendu ;
 ne réduit pas l’autonomie des sources d’énergie électrique et d’eau de refroidissement de telle
sorte que la situation du réacteur ou de sa piscine d’entreposage ne puisse plus être gérée.
Dans ce but, le recours à des systèmes indépendants est privilégié.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P48/ 97 -
 IV.2 Conception des EIP

IV.2.1 Catégorisation des fonctions de sûreté radiologiques et

détermination des exigences des EIP classés
[Link] La démarche de classement de sûreté des EIP vise à garantir qu’ils sont conçus, fabriqués et
suivis en exploitation avec un niveau de qualité proportionné à leur rôle dans la démonstration de
sûreté nucléaire. Le rôle des EIP dans la démonstration de sûreté nucléaire est déterminé par l'analyse
des fonctions qu'ils accomplissent.
La démarche de classement tient ainsi compte du rôle des EIP pour :
 la prévention et la limitation des conséquences des agressions ;
 l’accomplissement des fonctions de sûreté radiologiques.

Pour les EIP concourant à une fonction de sûreté radiologique, la démarche de classement de sûreté
repose sur les étapes successives suivantes :
 l’identification et la catégorisation des fonctions de sûreté radiologiques établie selon leur rôle
dans la démonstration de sûreté nucléaire ;
 l’identification et le classement des EIP réalisant ces fonctions ;
 la définition d’exigences adaptées de conception, de fabrication et de suivi en exploitation des
EIP.

[Link] Les fonctions de sûreté radiologiques sont réparties en un nombre adéquat de catégories de
sûreté nucléaire établies en fonction de leur rôle dans la démonstration de sûreté nucléaire en tenant
compte :
 des conséquences de leur défaillance pour la démonstration de sûreté nucléaire ;
 de leur fréquence estimée de sollicitation ;
 du temps disponible pour les mettre en œuvre ainsi que de la durée durant laquelle elles doivent
être assurées, notamment pour l’atteinte d’un état contrôlé ou d’un état sûr.

[Link] La démarche de catégorisation des fonctions de sûreté radiologiques est fondée sur une
approche déterministe complétée, lorsque cela est pertinent, par des analyses probabilistes et des
jugements d’experts.

[Link] Les EIP participant à l’accomplissement d’une ou de plusieurs fonctions de sûreté radiologiques
sont classés en cohérence avec la catégorie la plus élevée de ces fonctions.

[Link] La conception des systèmes IP est notamment déterminée à partir des fonctions de sûreté
radiologiques auxquelles ils participent, en cohérence avec les études des conditions DBC/DEC et des
agressions. Elle considère en particulier :
 le critère de défaillance unique ;
 le secours électrique ;
 la séparation physique.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P49/ 97 -
[Link] Les exigences définies applicables aux EIP sont notamment déterminées en cohérence avec la
conception des systèmes ou structures IP auxquels ils appartiennent et avec la classe de sûreté résultant
des fonctions de sûreté radiologiques auxquelles ils contribuent. C’est le cas en particulier de :
 l’utilisation de règles codifiées de conception et de construction, de normes ou de spécifications
techniques appropriées ;
 l’aptitude au suivi en exploitation, par exemple par des essais périodiques ;
 la tenue aux agressions ;
 la qualification ;
 l’assurance de la qualité.

[Link] Les exigences définies applicables aux systèmes accomplissant une fonction support sont
cohérentes avec celles des systèmes IP desservis.
Lorsque la défaillance d'un EIP d’une fonction support ne compromet pas immédiatement et
directement la réalisation de la fonction desservie (existence d’une période de grâce suffisante), celui-ci
peut être affecté à la classe de sûreté immédiatement inférieure à celle du système IP desservi.

[Link] Au sein d’une même classe de sûreté, les EIP peuvent être regroupés en un nombre limité de
familles présentant des exigences définies homogènes.

[Link] Les éventuelles interfaces entre les EIP sont spécifiées et conçues de façon à garantir que la
défaillance d’un EIP n’empêche pas un EIP ayant un niveau d’exigence plus élevé d’assurer ses
fonctions de sûreté radiologiques.

[Link] Lorsqu’un EIP est appelé à remplir sa fonction pour maîtriser un événement du domaine de
conception de référence ou du domaine de conception étendu, sa durée de fonctionnement prévue à
cette occasion et les conditions qu’il rencontre alors constituent ses conditions normales de
fonctionnement et, pour un équipement sous-pression nucléaire défini au titre de l’article 2 de l’arrêté
du 12 décembre 2005, sa situation normale de service. Le dimensionnement de l’EIP repose sur des
critères qui garantissent son aptitude à remplir sa fonction. Il ne repose pas nécessairement sur les
mêmes critères mécaniques que ceux utilisés pour le dimensionnement des systèmes utilisés en
fonctionnement normal, mais garantit le respect des exigences fonctionnelles requises.

IV.2.2 Fiabilité des EIP et des systèmes IP

[Link] Les EIP et systèmes IP sont conçus pour que les fonctions de sûreté radiologiques qu’ils
remplissent soient assurées avec une fiabilité appropriée, en cohérence avec leur rôle dans la
démonstration de sûreté nucléaire. Cette fiabilité est obtenue par une combinaison appropriée :
 de dispositions de conception, de réalisation, d’installation, de contrôle et de maintenance ;
 de redondance, de séparation, et de diversification entre EIP, afin notamment de réduire les
probabilités de défaillances de cause commune.

[Link] Dans la mesure où cela n’introduit pas une complexité excessive et où un unique état favorable
à la sûreté nucléaire est identifié, les systèmes IP sont conçus de manière à passer automatiquement
dans cet état (principe de la défaillance orientée) lorsque certains de leurs composants sont défaillants (y
compris en raison de la défaillance d’un éventuel système accomplissant une fonction support).

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P50/ 97 -
[Link] Compte tenu de l’état des connaissances, des provisions23 sont prévues dans la conception des
EIP afin de tenir compte :
 des mécanismes de vieillissement et d’usure (éventuellement en lien avec le programme de
maintenance) ;
 des incertitudes sur les paramètres physiques de l’installation ;
 du retour d’expérience d’exploitation.

IV.2.3 Critère de défaillance unique

[Link] Les systèmes IP nécessaires à la maîtrise des conditions de fonctionnement de référence de
catégories 2 à 4 sont conçus en respectant le critère de défaillance unique.

[Link] La défaillance unique active d’un EIP est postulée à sa sollicitation, à court ou à long terme.

[Link] La défaillance unique passive d’un EIP24 est postulée à long terme à partir de 24 heures après
l’événement nécessitant le fonctionnement du système IP. De plus, il est vérifié, par des études de
sensibilité qu’une défaillance unique passive, soit postulée avant 24 heures, soit conduisant à une valeur
de taux de fuite plus élevée que la valeur conventionnellement définie (jusqu’à la rupture d’une
tuyauterie connectée d'un diamètre intérieur de 50 mm), n’entrainerait pas de conséquences plus
importantes que celles résultant d’une défaillance unique active ou ne conduirait pas à un effet falaise en
termes d’efficacité du système IP ou de conséquences radiologiques. De plus, des fuites à court terme
sont considérées pour tout barillet.

[Link] Des dispositions de prévention et de limitation des conséquences des défaillances passives sont
mises en œuvre, notamment en termes de détection, d’isolement et de collecte des fuites.

[Link] Certaines défaillances uniques pourraient être exclues, notamment celles relatives à l’ouverture
de certains clapets soumis à une forte différence de pression ou au fonctionnement de certains
équipements ne subissant pas de variations notables de chargement sur la base de justifications
appropriées tenant notamment compte :
 des dispositions de conception et d’exploitation mises en œuvre ;
 d’une analyse du retour d’expérience d’exploitation ;
 le cas échéant, pour les défaillances uniques actives, d’une analyse des conséquences de la
défaillance menées avec des règles, méthodes ou hypothèses moins conservatives que celles
retenues pour l’étude des conditions de fonctionnement de référence.

23 Ces provisions peuvent prendre la forme de coefficients de sécurité, de pénalités,…

24 Le concept de défaillance unique passive ne s’applique pas au CPP et aux CSP.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P51/ 97 -
 IV.2.4 Qualification des EIP
[Link] En application du II de l’article 2.5.1 de l’arrêté
Article 2.5.1 de l’arrêté du 07/02/2012
du 7 février 2012, les EIP font l’objet d’une II. – Les éléments importants pour la protection
qualification visant à garantir leur capacité à respecter font l’objet d’une qualification, proportionnée
leurs exigences définies pour les conditions dans aux enjeux, visant notamment à garantir la
lesquelles ils sont nécessaires. Ces conditions incluent capacité desdits éléments à assurer les fonctions
les conditions liées à l’environnement (température, qui leur sont assignées vis-à-vis des sollicitations
et des conditions d’ambiance associées aux
pression, humidité, impact de jets de fluides, situations dans lesquelles ils sont nécessaires.
irradiation, vibrations, phénomènes chimiques, Des dispositions d’études, de construction,
interférence électromagnétique et toute combinaison d’essais, de contrôle et de maintenance
plausible de ces facteurs), ainsi que les conditions liées permettent d’assurer la pérennité de cette
au fluide véhiculé (fluide radioactif, eau chargée de qualification aussi longtemps que celle-ci est
particules, choc thermique). nécessaire.

[Link] La qualification est effective pendant la durée prévue de fonctionnement du réacteur, voire
pendant la phase de mise à l’arrêt définitif et de démantèlement lorsque cela est pertinent. Pour les
composants, cette durée peut être plus courte quand un remplacement est possible en cours
d’exploitation (en fonctionnement ou lors de la phase de mise à l’arrêt définitif et de démantèlement).

[Link] La qualification repose notamment sur des dispositions d’études, de construction, d’essais, de
contrôle ou de maintenance.
Des méthodes de qualification sont définies. Des chargements couvrant les conditions
d’environnement pour les accidents, y compris pour les situations de fusion du cœur, sont définis.
La qualification des EIP tient compte des mécanismes de vieillissement et d’usure, et les dispositions
permettant d’assurer et de surveiller la pérennité de la qualification sont définies lors de la conception.

IV.2.5 Prise en compte à la conception des EIP des nécessités

de suivi en service et des contraintes relatives à
leur vieillissement
[Link] Les EIP sont conçus de manière à permettre leur suivi en exploitation (incluant, si cela est
approprié, des essais périodiques) pour confirmer :
 l’intégrité de leurs composants et leur étanchéité notamment quand ils contiennent du fluide
radioactif ;
 la disponibilité et les performances des composants des systèmes, y compris, si besoin, quand le
réacteur est en fonctionnement en puissance ;
 les performances requises des systèmes pour l’ensemble des événements du domaine de
conception de référence et du domaine de conception étendu.

[Link] Des dispositions sont prises à la conception de manière à pouvoir faciliter le suivi des
mécanismes de vieillissement prévus et à déceler une dégradation ou un comportement imprévu qui
pourrait se produire lors de l’exploitation de l’INB.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P52/ 97 -
 IV.2.6 Prise en compte à la conception des exigences relatives
au démantèlement et à la remise en état du site

[Link] La conception tient compte des exigences relatives à l’arrêt définitif et au démantèlement de
l’installation afin d’en faciliter le déroulement avec, notamment, l’objectif de pouvoir procéder à son
démantèlement dans un délai aussi court que possible en limitant autant que raisonnablement possible :
 l’exposition radiologique des travailleurs ;
 les quantités et niveaux des rejets d’effluents liquides et gazeux radioactifs ;
 les quantités et les activités des déchets radioactifs.

La conception prend en compte les principes d’ordre méthodologique et les étapes envisagées pour le
démantèlement de l’installation, la remise en état et la surveillance ultérieure.

[Link] Lors de la conception, les choix techniques portent notamment sur :

 la conception des équipements, l’agencement du bâti et des voies d’accès. Les équipements
susceptibles de contenir des substances radioactives en fonctionnement normal et lors
d’incidents sont conçus de façon à favoriser, dans la mesure du possible, leur inspection, la
caractérisation de leurs propriétés radiologiques, leur assainissement, leur démontage et leur
transport. Lorsque pertinent, des protections radiologiques, facilement amovibles lors des
opérations de démantèlement, sont mises en œuvre de façon à réduire l’activation des matériels
et des équipements. Le bâti est agencé en tenant compte des futures opérations de
démantèlement, en particulier pour ce qui concerne les composants dont la manutention est
complexe. Une réflexion est également menée au regard des équipements susceptibles de
contenir des substances radioactives lors d’accidents ;
 les matériaux : ils sont choisis en tenant compte de leurs compositions chimiques et des
phénomènes auxquels ils sont susceptibles d’être soumis afin de limiter les risques liés aux
opérations de démantèlement et de faciliter la gestion ultérieure des déchets produits lors de ces
opérations.
Ces choix techniques sont établis en considérant notamment le retour d’expérience des opérations
achevées ou en cours de démantèlement ou de remise en état de site existant.

[Link] Les structures, systèmes et composants mis en place au titre du fonctionnement normal,
incidentel ou accidentel de l’installation et dont l’utilisation est également envisagée dans le cadre des
futures opérations de démantèlement de l’installation sont identifiés. Des dispositions sont prises pour
qu’ils soient aptes à respecter leurs exigences définies pour le démantèlement en considérant
notamment le retour d’expérience des opérations achevées ou en cours de démantèlement ou de remise
en état de site existant. Ces dispositions tiennent compte de la durée de fonctionnement prévue du
réacteur, de la durée des opérations préparatoires au démantèlement et de la durée du démantèlement
proprement dite. Le cas échéant, l’aptitude au remplacement de ces structures, systèmes et composants
est prévue à la conception de l’installation.

[Link] La conception prévoit la possibilité de réaliser des caractérisations d’équipements, de structures

et de sols, à la fin du fonctionnement de l’installation.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P53/ 97 -
 IV.3 Prise en compte des dimensions organisationnelles et
humaines dans la conception du système sociotechnique
4.3.1 L’installation constitue un système sociotechnique dont le fonctionnement repose sur
l’articulation entre des hommes, une organisation, des moyens techniques et un environnement
physique de travail. Le système sociotechnique est conçu de façon à créer les conditions les plus
favorables possibles pour la réalisation par le personnel de leurs activités liées à l’exploitation de
l’installation, tant en fonctionnement normal qu’en cas d’incidents, d’accidents et d’agressions
(domaines de conception de référence et étendu).
Une démarche de conception du système sociotechnique est ainsi mise en œuvre. Elle est mise en
œuvre de façon cohérente et intégrée par l’ensemble des entités impliquées dans la conception de
l’installation.
La démarche de conception s’appuie sur le retour d’expérience et les connaissances dans les domaines
des facteurs organisationnels et humains et de l’exploitation de l’installation, notamment sur les
normes25 et pratiques reconnues nationalement et internationalement.
4.3.2 La conception du système sociotechnique réduit autant que possible les possibilités d’actions
humaines inappropriées et favorise la capacité du personnel à détecter et à gérer les aléas d’exploitation,
ceci quel que soit l’état de l’installation, notamment en cas d’incidents, d’accidents ou d’agressions.

4.3.3 La recherche de solutions de conception s’effectue de manière itérative et progressive, à travers

des analyses, la définition de solutions de conception et une validation des solutions au regard des
exigences définies à l’aide des analyses.
1) Les analyses doivent permettre de spécifier les exigences de conception liées aux besoins des
utilisateurs et à la future organisation. En particulier, les exigences liées à la réalisation de ces activités
sont prises en compte dès le début de la conception. Elles prennent en compte les activités que les
personnels auront à effectuer ainsi que, lorsqu’ils peuvent être déterminés, l’environnement du travail et
l’organisation des activités. Des méthodes de recueil de données et d’analyse des activités appropriées,
conformes à l’état de l’art dans le domaine, sont utilisées durant le processus de conception pour
identifier les exigences relatives aux activités humaines. Ces méthodes sont mises en œuvre et intégrées
suffisamment tôt dans le processus de conception pour apporter des éléments utiles à la production des
solutions de conception.

Les analyses s’appuient en particulier sur le retour d’expérience de l’exploitation des installations
nucléaires en France ou à l’étranger et sur le retour d’expérience issu d’autres secteurs industriels ainsi
que sur des études utilisant des simulateurs, notamment pour ce qui concerne les activités en salle de
commande.
Une réflexion est menée pour répartir de façon appropriée les tâches entre celles qui sont réalisées par
l’opérateur et celles qui sont réalisées de manière automatique.

25Par exemple, la norme NF-EN-ISO 9241-210 « Ergonomie de l’interaction homme-système. Partie 210 : Conception
centrée sur l’opérateur humain pour les systèmes interactifs », publiée en janvier 2011.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P54/ 97 -
Les exigences de conception du système sociotechnique issues de ces analyses font l’objet d’une
traçabilité et leur prise en compte est suivie tout au long des phases de conception, de réalisation et de
mise en service de l’installation.
2) La définition de solutions de conception vise à rendre les différentes composantes du système
sociotechnique efficaces et efficientes en fonctionnement normal et en cas d’incidents, d’accidents ou
d’agressions (domaines de conception de référence et étendu), notamment :
 les interfaces hommes-machines (y compris informatisées), notamment dans les salles de
commande, mais plus généralement partout où l’homme est amené à agir dans l’installation ;
 les supports documentaires, tels que les consignes, les procédures et les notes d’organisation. En
particulier, les documents opérationnels destinés à guider les personnels dans la réalisation de
leurs activités sont conçus de façon à leur permettre d’en comprendre la finalité et
l’importance ;
 la signalétique permettant le repérage des locaux et des structures, systèmes et composants ;
 les conditions d’accès aux locaux et aux matériels pour tous les lieux de l’installation dans
lesquels du personnel est amené à intervenir ;
 l’environnement physique de travail (lumineux, sonore et thermique) de façon à assurer des
conditions favorables à la réalisation des activités ;
 l’organisation de l’exploitant, notamment en termes d’effectifs et de gestion de la co-activité
entre les intervenants.

3) La validation des solutions de conception est effectuée en utilisant des méthodes d’évaluation et des
moyens adaptés (tests utilisateurs, maquettage, simulation…) dans des conditions aussi représentatives
que possible de celles qui seront rencontrées lors de l’exploitation (y compris la salle de commande de
secours). La validation des moyens et actions de conduite depuis la salle de commande principale est
notamment réalisée au moyen d’un simulateur pleine échelle.

4.3.4 La conception répond aux principes généraux de prévention fixés à l’article L. 4121-2 du code du
travail, notamment à ses 4° et 7°. Les choix des procédés, l’aménagement de l’installation, des lieux de
travail et des postes de travail tiennent compte des conclusions de l’évaluation prévue à l’article L. 4121-
3 de ce code.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P55/ 97 -
 Article L.4121-2 du code du travail
L'employeur met en œuvre les mesures prévues à l'article L. 4121-1 sur le fondement des principes généraux de
prévention suivants :
…
4° Adapter le travail à l'homme, en particulier en ce qui concerne la conception des postes de travail ainsi que le
choix des équipements de travail et des méthodes de travail et de production… ;
…
7° Planifier la prévention en y intégrant, dans un ensemble cohérent, la technique, l'organisation du travail, les
conditions de travail, les relations sociales et l'influence des facteurs ambiants,…

Article L.4121-3 du code du travail

L'employeur, compte tenu de la nature des activités de l'établissement, évalue les risques pour la santé et la sécurité
des travailleurs, y compris dans le choix des procédés de fabrication, des équipements de travail, des substances ou
préparations chimiques, dans l'aménagement ou le réaménagement des lieux de travail ou des installations et dans la
définition des postes de travail.
A la suite de cette évaluation, l'employeur met en œuvre les actions de prévention ainsi que les méthodes de travail
et de production garantissant un meilleur niveau de protection de la santé et de la sécurité des travailleurs…

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P56/ 97 -
 IV.4 Radioprotection à la conception
4.4.1 Dès la conception de l’installation, les risques liés aux expositions des personnes aux
rayonnements ionisants sont pris en compte, tant pour le fonctionnement normal que pour les
situations d’incidents ou d’accidents. Pour ce qui concerne le fonctionnement normal, une attention
particulière est portée aux périodes où l’installation est à l’arrêt pour maintenance ou rechargement en
combustible. Lorsque des interventions dans le bâtiment du réacteur sont envisagées lorsque le réacteur
est en puissance, la conception intègre des dispositions visant à réduire l’exposition aux rayonnements
ionisants des travailleurs.

4.4.2 Au titre des dispositions prévues à l’article L. 593-42 du code de l’environnement et aux articles
R. 4451-7 et R. 4451-10 du code du travail et afin de réduire autant que raisonnablement possible les
expositions professionnelles des travailleurs aux rayonnements ionisants, la conception de l’installation
prend en compte l’avancement de la technique et de la pratique au moment de la conception et prévoit
notamment :
 des matériaux du circuit primaire et de ses circuits auxiliaires choisis de façon à limiter la
formation de produits de corrosion et d’activation ;
 des dispositions de conception permettant de limiter les concentrations localisées de substances
radioactives dans les circuits ;
 des dispositions permettant de réduire autant que possible le nombre et la durée des activités
humaines dans les zones spécialement réglementées ou interdites définies à l’article R. 4451-20
du code du travail, en prenant notamment en compte l’aménagement des locaux, la facilité
d’accès aux emplacements de travail, les conditions d’environnement de travail, le
développement d’outils spécifiques et la téléopération ;
 pour l’application de l’article L. 4121-2 du code du travail, un agencement approprié des
structures, systèmes et composants qui contiennent des substances radioactives permettant,
autant que possible, une réduction de la durée des interventions, la mise en place de protection
radiologiques efficaces et, de préférence, permanentes et une distance raisonnable entre les
intervenants et les sources de rayonnement.

4.4.3 Au titre des dispositions prévues à l’article L. 593-42 du code de l’environnement et aux articles
R. 4451-10, R. 4451-24 et R. 4451-40 du code du travail et afin d’éviter tout risque de dispersion de
substances radioactives et en cohérence avec les dispositions appelées par l’article 3.4 de l’arrêté du 7
février 2012, la conception de l’installation prévoit notamment :
 des dispositions de confinement statique et dynamique appropriées ;
 un agencement des locaux permettant de mettre en place, si cela s’avère nécessaire pour
certaines opérations d’exploitation (notamment d’inspection en service ou de maintenance), des
structures amovibles de confinement des substances radioactives ;
 des équipements de surveillance et de supervision de radioprotection :
o adaptés aux risques présents aux postes de travail et zones d’intervention régulières ;
o localisés à des emplacements permettant une mesure représentative des conditions
radiologiques et permettant de détecter et de suivre une dérive en fonctionnement normal
et, si nécessaire, lors des situations d’incidents ou d’accidents, y compris d’accident avec
fusion de combustible ;

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P57/ 97 -
 o destinés au contrôle du niveau de contamination des travailleurs et de leurs matériels et
outillages implantés à des emplacements judicieux au regard des flux prévisibles de
personnel et de matériels, des sources de contamination et des activités, notamment de
maintenance, à réaliser ;
 des dispositions pour faciliter les opérations de décontamination et de démantèlement des
équipements.

4.4.4 Au titre des articles [Link].5, [Link].2, [Link].2 et [Link], la conception vise notamment à
permettre, en termes de radioprotection, la réalisation des interventions prévues dans les domaines de
conception de référence et étendu, conformément aux objectifs de l’article R. 4451-10 du code du
travail.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P58/ 97 -
 Article L. 593-42 du code de l’environnement
Les règles générales, prescriptions et mesures prises en application du présent chapitre et des chapitres V et VI pour
la protection de la santé publique, lorsqu’elles concernent la radioprotection des travailleurs, portent sur les mesures
de protection collectives qui relèvent de la responsabilité de l’exploitant de nature à assurer le respect des principes
de radioprotection définis à l’article L. 1333-2 du code de la santé publique. Elles s’appliquent aux phases de
conception, d’exploitation et de démantèlement de l’installation et sont sans préjudice des obligations incombant à
l’employeur en application des articles L. 4121-1 et suivants du code du travail.

Article R.4451-7 du code du travail

L'employeur prend les mesures générales administratives et techniques, notamment en matière d'organisation du
travail et de conditions de travail, nécessaires pour assurer la prévention des accidents du travail et des maladies
professionnelles susceptibles d'être causés par l'exposition aux rayonnements ionisants…

Article R.4451-10 du code du travail

Les expositions professionnelles individuelles et collectives aux rayonnements ionisants sont maintenues en deçà
des limites prescrites par les dispositions du présent chapitre au niveau le plus faible qu'il est raisonnablement
possible d'atteindre.

Article R.4451-20 du code du travail

A l'intérieur de la zone contrôlée et lorsque l'exposition est susceptible de dépasser certains niveaux fixés par une
décision de l'Autorité de sûreté nucléaire prise en application de l'article R. 4451-28, l'employeur prend toutes
dispositions pour que soient délimitées des zones spécialement réglementées ou interdites.
Ces zones font l'objet d'une signalisation distincte et de règles d'accès particulières.

Article L.4121-2 du code du travail

L'employeur met en œuvre les mesures prévues à l'article L. 4121-1 sur le fondement des principes généraux de
prévention suivants :
…
8° Prendre des mesures de protection collective en leur donnant la priorité sur les mesures de protection
individuelle ;
…
Article R.4451-24 du code du travail
Dans les zones où il existe un risque d'exposition interne, l'employeur prend toutes dispositions propres à éviter tout
risque de dispersion des substances radioactives à l'intérieur et à l'extérieur de la zone.

Article R.4451-40 du code du travail

L'employeur définit les mesures de protection collective adaptées à la nature de l'exposition susceptible d'être subie
par les travailleurs exposés.
La définition de ces mesures prend en compte les autres facteurs de risques professionnels susceptibles d'apparaître
sur le lieu de travail, notamment lorsque leurs effets conjugués sont de nature à aggraver les effets de l'exposition
aux rayonnements ionisants…

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P59/ 97 -
 V EXIGENCES ET RECOMMANDATIONS SPECIFIQUES DE
CONCEPTION DES BARRIERES

V.1 Cœur du réacteur et dispositifs associés

5.1.1 La conception du cœur du réacteur comprend :
 la conception des assemblages de combustible ;
 la conception de dispositifs de contrôle des réactions nucléaires en chaîne (grappes absorbantes,
absorbant neutronique soluble) ;
 l’étude des écoulements hydrauliques et des échanges thermiques dans la cuve du réacteur ;
 la conception des équipements internes de la cuve du réacteur ;
 la conception des dispositifs de mesure nécessaires au suivi des réactions nucléaires en chaîne et
de l’évacuation de la puissance du cœur ;
 la conception des dispositifs de mesure nécessaires au suivi de la gestion des incidents et des
accidents.

5.1.2 Les assemblages de combustible et les systèmes de refroidissement, de commande, de surveillance

et de protection du cœur sont conçus en prévoyant des marges appropriées.
En particulier :
 la conception des assemblages de combustible permet l’insertion rapide dans le cœur d’éléments
absorbants mobiles (grappes), de manière à contribuer à la maîtrise des réactions nucléaires
dans les conditions de fonctionnement de référence, dans les conditions DEC-A et lors des
séismes de référence ;
 la structure des assemblages de combustible (tubes-guides, grilles, embouts…) ainsi que les
gaines des combustibles sont conçues de manière à permettre le refroidissement du combustible
dans le cœur, dans les conditions de fonctionnement de référence, dans les conditions DEC-A
et lors des séismes de référence ;
 le confinement des substances radioactives est en premier lieu assuré par l’intégrité de la
première barrière.

Par ailleurs, les assemblages de combustible sont conçus pour conserver leur intégrité dans les
situations d’entreposage, de transport et de manutention avant et après irradiation en réacteur. La
présence possible en fonctionnement normal de quelques défauts de gainage est prise en compte dans
la démonstration de la sûreté et pour les opérations relatives au combustible après son irradiation en
réacteur. À cet égard, la conception du combustible limite autant que raisonnablement possible les
pertes d’étanchéité en fonctionnement normal.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P60/ 97 -
5.1.3 Le cœur du réacteur est conçu et construit de manière à résister aux charges statiques et
dynamiques prévues dans les conditions de fonctionnement de référence, dans les conditions DEC-A
et lors des séismes de référence afin que le réacteur puisse être mis à l’arrêt de manière sûre, maintenu à
l’état sous-critique et refroidi.
Dans ce but :
a) les assemblages de combustible sont conçus pour résister de manière satisfaisante aux conditions
ambiantes (effets chimiques, thermiques, mécaniques, irradiation) prévues dans le cœur du réacteur,
ainsi qu’aux processus de détérioration qui peuvent se produire dans les conditions de fonctionnement
de référence, dans les conditions DEC-A et lors des séismes de référence. La conception des crayons
de combustible assure une barrière le plus étanche possible pour isoler du réfrigérant primaire les
pastilles de combustible et les produits de fission. Par convention, les analyses mécaniques considèrent
également le cumul quadratique des effets des ruptures de tuyauteries primaires postulées dans le
domaine de conception de référence et du séisme de référence ;
b) les équipements internes de la cuve du réacteur sont conçus de manière à permettre dans les
conditions de fonctionnement de référence, dans les conditions DEC-A et lors des séismes de
référence :
 le refroidissement du combustible par le fluide caloporteur, notamment en assurant dans ces
situations le maintien en place des assemblages de combustible ;
 la maîtrise de la réaction nucléaire en permettant l’insertion d’absorbants mobiles.
Par convention, les analyses mécaniques considèrent également le cumul quadratique des effets des
ruptures de tuyauteries primaires postulées dans le domaine de conception de référence et du séisme de
référence.

5.1.4 En cas de séisme du domaine de conception étendu, le comportement du cœur (en particulier, la
structure des assemblages de combustible) et des équipements internes de la cuve ne fait pas obstacle à
la mise à l’arrêt du réacteur, à son maintien à l’état sous-critique et au refroidissement du combustible.

5.1.5 La surveillance de l’efficacité du confinement des substances radioactives assurée par les gaines
des crayons de combustible est prévue à la conception. Cette surveillance est mise en œuvre tant que le
combustible est présent dans l’installation.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P61/ 97 -
 V.2 Circuits primaire et secondaires

V.2.1 Exigences générales de conception

[Link] Les circuits primaire principal (CPP) et secondaires principaux (CSP) sont définis à l’article 1er
de l’arrêté du 10 novembre 1999.

Article 1er de l’arrêté du 10 novembre 1999

Pour l'application du présent arrêté est désigné par :
a) Circuit primaire principal d'une chaudière nucléaire à eau : l'appareil générateur que constitue l'ensemble des
équipements sous pression de cette chaudière qui contiennent le fluide recevant directement l'énergie dégagée
dans le combustible nucléaire et qui ne peuvent être isolés de façon sûre de celui d'entre eux où se trouve ce
combustible. Il comprend les accessoires de sécurité et les accessoires sous pression jouant un rôle
d'isolement;
b) Circuit secondaire principal d'une chaudière nucléaire à eau : chacun des appareils constitués par l'enceinte
secondaire d'un des générateurs de vapeur de la chaudière et les tuyauteries qui ne peuvent en être isolées de
façon sûre, y compris les accessoires de sécurité et les accessoires sous pression jouant un rôle d'isolement ;

[Link] Des dispositions sont prises pour garantir, tout au long de la vie de l'installation, l'intégrité des
équipements du CPP et des CSP.
Ces dispositions portent à la fois sur :
 la qualité de la conception et la vérification associée ;
 la qualité de la fabrication et les contrôles associés ;
 le respect des conditions pour lesquelles les équipements ont été conçus et fabriqués ;
 la réalisation des opérations d’entretien et de surveillance, des inspections périodiques et des
réparations nécessaires au maintien de leur niveau de sécurité.
Ces dispositions visent à prévenir l’apparition des modes de défaillance de l’équipement et, le cas
échéant, à détecter à temps un endommagement.

V.2.2 Protection contre les surpressions

[Link] Une protection du CPP et des CSP contre les surpressions est mise en place dans les différents
états du réacteur :
 pour les conditions DBC ;
 pour les conditions DEC-A. Sont notamment considérées les conditions de fonctionnement de
référence de catégorie 2 avec défaillance de l’arrêt automatique du réacteur.
Cette protection respecte les exigences applicables du décret du 13 décembre 1999 (§ 2.10, 2.11 et 7.3
de son annexe 1) et de l’arrêté du 10 novembre 1999 (article [Link].c).

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P62/ 97 -
[Link] Pour les situations de deuxième catégorie, au sens de l'arrêté du 10 novembre 1999, les
régulations, les limitations, les systèmes de décharge et les accessoires de sécurité des équipements (arrêt
automatique du réacteur déclenché par le système de protection du réacteur, soupapes,…) peuvent être
pris en compte pour démontrer le respect des exigences de protection contre les surpressions.

[Link] Pour les situations de troisième catégorie au sens de l'arrêté du 10 novembre 1999 et pour
l’application du décret du 13 décembre 1999, l’arrêt automatique du réacteur peut être considéré
comme un accessoire de sécurité s’il respecte les exigences essentielles de sécurité associées.

[Link] Pour les situations de quatrième catégorie au sens de l'arrêté du 10 novembre 1999, les
régulations, les limitations, les systèmes de décharge et les accessoires de sécurité des équipements (arrêt
automatique du réacteur déclenché par le système de protection du réacteur, soupapes…) peuvent être
retenus dans la démonstration de sûreté s’il est démontré qu’ils sont disponibles dans ces situations.

V.2.3 Composants « non ruptibles »

[Link] Une démarche d’exclusion du risque de rupture des gros composants du CPP et des CSP est
mise en œuvre. En effet, aucune disposition raisonnable de limitation des conséquences de leur rupture,
en tant qu’événement déclencheur, ne pourrait être définie. Ces composants sont dits « non-ruptibles ».
Cette démarche repose sur des dispositions particulièrement exigeantes en matière de conception, de
fabrication et de suivi en service visant à prévenir la rupture. Elles concernent :
 l’analyse des modes d’endommagement pertinents, l’utilisation de matériaux présentant une
résistance suffisante à ces modes d’endommagement, la détermination des sollicitations subies,
y compris en cas de survenue d’une agression et la vérification du respect de critères permettant
de prévenir les risques de rupture ;
 le recours à des procédés de fabrication et de contrôle permettant de démontrer l’obtention
d’un très haut niveau de qualité tenant compte, conformément au point 4 des remarques
préliminaires de l’annexe 1 au décret n° 99-1046 du 13 décembre 1999 relatif aux équipements
sous pression, de l’ « état d’avancement de la technique et de la pratique au moment de la conception et de la
fabrication, ainsi que des considérations techniques et économiques compatibles avec un degré élevé de protection de
la santé et de la sécurité » ;
 le suivi en service, permettant notamment de vérifier en temps utile l’absence de dégradation du
composant.

Dans cette perspective, la détermination enveloppe de sollicitations subies, l’analyse du comportement

des structures sous ces sollicitations, l’existence de marges significatives par rapport aux critères
mécaniques, la qualification des procédés de fabrication et les approvisionnements, le choix, l’étendue
et la précision des techniques de contrôles au regard des procédés de fabrication, la détermination des
critères d’acceptation des défauts de fabrication, l’accessibilité des zones à surveiller en exploitation, la
prise en compte de l’expérience sur le comportement de matériaux ou d’installations similaires sont des
moyens nécessaires à la mise en œuvre de cette démarche.

26 Les articles [Link], [Link] et [Link] sont susceptibles d’évoluer en fonction des discussions en cours concernant la
révision de l’arrêté du 10 novembre 1999.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P63/ 97 -
 V.2.4 Autres considérations sur le CPP et les circuits connectés
[Link] Des brèches sur les tuyauteries du circuit primaire et des circuits connectés sont retenues
comme des EIU dans la démonstration de sûreté nucléaire.
Par convention, les analyses mécaniques du CPP considèrent le cumul quadratique des effets des
ruptures de tuyauteries primaires postulées dans le domaine de conception de référence et du séisme de
référence.

[Link] En application de l’article [Link] et du principe de défense en profondeur mentionné au

chapitre II.2.1, des dispositions sont notamment mises en œuvre pour limiter les conséquences de la
rupture de tuyauteries primaires principales.

L’hypothèse « d’exclusion de rupture » consiste dans son principe à ne pas traiter les conséquences de la
rupture d’une tuyauterie parce que la rupture peut être considérée comme extrêmement improbable
avec un haut degré de confiance. Le recours à l'hypothèse d'exclusion de rupture CPP ne peut être
envisagé que pour les tuyauteries primaires principales et nécessite des éléments de justification
démontrant que :
 les dispositions de conception, de fabrication et de surveillance en service sont telles que la
rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance.
À ce titre, les recommandations de l’article [Link] s’appliquent à ces dispositions ;
 ce choix est raisonnable compte tenu des avantages et inconvénients qu’il apporte au niveau de
sûreté global de l’installation et à la radioprotection.

Le recours à cette hypothèse étant un choix structurant, cela nécessitera des discussions au cas par cas à
un stade précoce de la conception.

En tout état de cause, par convention, les conséquences de la rupture doublement débattue de la
tuyauterie primaire principale sur les EIP essentiels à la démonstration de sûreté nucléaire, en particulier
sur le système d’injection d’eau de secours et l’enceinte de confinement, sont étudiées avec des
hypothèses appropriées.

[Link] Dans le cas où la rupture d’une tuyauterie primaire principale pourrait être considérée comme
« exclue », alors les chargements à prendre en compte pour le dimensionnement des structures internes
de la cuve du réacteur et des structures internes à l’enceinte de confinement sont ceux résultant d'une
rupture équivalente à la rupture guillotine complète de la plus grosse tuyauterie connectée à une
tuyauterie primaire principale.

[Link] La disposition des tuyauteries primaires est telle qu'une défaillance d'une boucle du circuit
primaire, y compris la rupture maximale envisageable, n’entraîne pas une défaillance d'une autre boucle.
La disposition des tuyauteries primaires et secondaires est telle qu'une défaillance d’une tuyauterie du
circuit primaire n’entraîne pas de défaillance d’une tuyauterie du circuit secondaire.

[Link] Pour les phases de fonctionnement où le CPP est fermé, une instrumentation adaptée est
prévue pour surveiller l’activité radiologique du fluide primaire et les fuites éventuelles du CPP. Des
dispositions de conception permettent la réalisation périodique d’un bilan de fuite du CPP lors du
fonctionnement du réacteur.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P64/ 97 -
[Link] Le fonctionnement du système de protection du CPP contre les surpressions n’entraîne pas de
rejet de substances radioactives directement dans l’environnement.

[Link] Concernant les surpressions à froid, une protection du CPP et du système de refroidissement du
réacteur dans les états d’arrêt à froid est mise en place.

[Link] Afin de prévenir les bipasses du confinement, les dispositifs assurant la protection contre les
surpressions des circuits connectés au CPP et véhiculant du fluide primaire sont situés à l’intérieur de
l’enceinte de confinement ou, à défaut, dans un local bénéficiant d’une ventilation ainsi que d’un
traitement adapté (filtration par exemple) de son atmosphère.

V.2.5 Autres considérations sur les CSP

[Link] Des brèches des tuyauteries des CSP sont retenues comme des EIU dans la démonstration de
sûreté nucléaire.
Par convention, les analyses mécaniques des CSP considèrent le cumul quadratique des effets des
ruptures de tuyauteries postulées dans le domaine de conception de référence et du séisme de référence.

[Link] En application de l’article [Link] et du principe de défense en profondeur mentionné au

chapitre II.2.1, des dispositions sont notamment mises en œuvre pour limiter les conséquences de la
rupture des tuyauteries secondaires principales.
Le recours à l'hypothèse d'exclusion de rupture ne peut être envisagé que pour ces tuyauteries et
nécessite des éléments de justification démontrant que :
 les dispositions de conception, de fabrication et de surveillance en service sont telles que la
rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance.
À ce titre, les recommandations de l’article [Link] s’appliquent à ces dispositions ;
 les effets hydrodynamiques significatifs sont évités (coups de bélier, érosion) et que les points
fixes sont aussi proches que possible des traversées de l’enceinte de confinement ;
 ce choix est raisonnable compte tenu des avantages et inconvénients qu’il apporte au niveau de
sûreté global de l’installation et à la radioprotection.

Le recours à cette hypothèse étant un choix structurant, cela nécessitera des discussions au cas par cas à
un stade précoce de la conception.

En tout état de cause, par convention, les conséquences de la rupture doublement débattue d’une
tuyauterie secondaire principale sur les EIP essentiels à la démonstration de sûreté nucléaire, en
particulier sur l’enceinte de confinement, sont étudiées avec des hypothèses appropriées.

[Link] Les possibilités de défaillance de cause commune des tuyauteries principales de vapeur et des
tuyauteries principales d’alimentation en eau des générateurs de vapeur sont réduites autant que
possible par une séparation adéquate des circuits. En tout état de cause, la rupture de toute tuyauterie
connectée aux tuyauteries secondaires principales qui pourrait se séparer de son piquage est prise en
compte.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P65/ 97 -
[Link] La disposition des tuyauteries du CPP et des CSP est telle que :
 une défaillance d’une tuyauterie du CSP n’entraîne pas de défaillance d’une tuyauterie du CPP ;
 la dépressurisation d'un générateur de vapeur simultanément du côté eau alimentaire et du côté
production de vapeur est évitée.

[Link] Pour les phases de fonctionnement où l'évacuation de la chaleur du fluide primaire est assurée
par les générateurs de vapeur, une instrumentation est prévue pour surveiller en continu toute fuite du
circuit primaire au niveau de chaque générateur de vapeur.

V.3 3ème barrière

V.3.1 Principes généraux de conception

[Link] Pour respecter les objectifs de sûreté mentionnés au chapitre II.1 du présent guide, la 3ème
barrière est conçue de telle manière que les rejets lors des phases court et long termes des accidents pris
en compte dans la démonstration de sûreté nucléaire soient limités.

[Link] À cette fin, des exigences relatives à la tenue mécanique et à l’étanchéité de la 3ème barrière de
confinement sont définies pour le domaine de conception de référence et le domaine de conception
étendu.
La 3ème barrière est conçue et réalisée pour respecter ces exigences.

[Link] En particulier, l’enceinte de confinement, les traversées de l’enceinte et leurs systèmes

d’isolement, sont conçus de telle manière que l’efficacité du confinement des substances radioactives
soit assurée :
 sans nécessiter de système actif d'évacuation de la puissance résiduelle hors de cette enceinte
pendant plusieurs heures après un accident avec fusion du cœur ;
 en cas de déflagration globale de la quantité maximale d'hydrogène qui pourrait être contenue
dans cette enceinte au cours d'un accident avec fusion du cœur ou après déflagration rapide
locale, en tenant compte des dispositions destinées à limiter la concentration d’hydrogène dans
l’enceinte ;
 en tenant compte des autres gaz combustibles pouvant être produits en situation de fusion du
cœur, notamment lors de l’interaction du corium avec le béton.
À cette fin et autant que nécessaire, des dispositions spécifiques, telles que des parois renforcées des
compartiments internes, sont mises en place afin de prévenir et de limiter les conséquences des
phénomènes tels que des déflagrations rapides locales d’hydrogène ou des transitions déflagration-
détonation d’hydrogène.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P66/ 97 -
 V.3.2 Traversées et ouvertures de l’enceinte de confinement
[Link] Les traversées et ouvertures de l’enceinte de confinement sont aussi peu nombreuses que
possible.

[Link] Les traversées et les ouvertures de l'enceinte de confinement débouchent, sauf justification
particulière, dans des bâtiments périphériques présentant des capacités de confinement adéquates.

[Link] Des exigences de qualification et d’étanchéité sont définies pour les traversées de l’enceinte en
fonctionnement normal, ainsi que lors d’incidents et d’accidents, en cohérence avec les objectifs de
sûreté mentionnés au chapitre II.1 du présent guide. Des moyens nécessaires à la vérification du respect
de ces exigences sur la durée de vie de l’installation sont définis.

[Link] Les traversées de l’enceinte de confinement sont pourvues d’organe(s) permettant, lorsque
nécessaire, de les obturer de manière fiable dans le domaine de conception de référence et le domaine
de conception étendu ; cette obturation est obtenue dans des délais compatibles avec les objectifs de
sûreté mentionnés au chapitre II.1 du présent guide.

Les traversées qui sont situées sur des circuits connectés au CPP qui pourraient véhiculer du fluide
primaire lors d’incidents ou d’accidents ou sur des circuits qui communiquent directement avec
l’atmosphère de l’enceinte de confinement sont équipées d’au moins deux organes d’isolement placés
en série, sauf justification particulière.

Quelle que soit la traversée, un organe d’isolement est à l’extérieur de l’enceinte de confinement (l’autre
étant à l’intérieur dans le cas où il y a deux organes). Les organes d’isolement sont situés aussi près que
possible de l’enceinte de confinement.

[Link] Lorsque, dans un état d’arrêt normal du réacteur, le tampon d’accès des matériels de l’enceinte
de confinement est ouvert en présence de combustible dans la cuve du réacteur, il est refermable
rapidement suite à l’occurrence d’un incident ou d’un accident, en tout état de cause avant que des
rejets radioactifs ne puissent se produire dans l’enceinte de confinement.

[Link] Les sas d’accès du personnel à l’intérieur de l’enceinte de confinement sont équipés de portes
dont les verrouillages sont interdépendants de façon qu’au moins une des portes soit fermée quand le
réacteur n’est pas à l’arrêt et que du combustible est en cuve.

[Link] Les conséquences des EIU consistant en une brèche survenant en fonctionnement normal sur
un circuit véhiculant du fluide radioactif en dehors de l’enceinte de confinement sont prises en compte,
notamment :
 la conception des locaux abritant ce circuit tient compte des effets possibles de cette brèche
(surpressions, création d’atmosphères explosives, difficulté d’accès aux locaux pour la gestion
de ces incidents et accidents…) ;
 une ventilation ainsi qu’un traitement adapté (filtration par exemple) de l’atmosphère de ces
locaux sont mis en place lorsque cela est nécessaire.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P67/ 97 -
[Link] Les possibilités de fuites des circuits véhiculant du fluide radioactif en dehors de l’enceinte de
confinement dans le domaine de conception de référence ou dans le domaine de conception étendu
sont prises en compte. En particulier, si de tels circuits sont utilisés pour la gestion des conditions
DEC-B, ces fuites sont considérées pour l’évaluation des conséquences radiologiques.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P68/ 97 -
 VI EXIGENCES ET RECOMMANDATIONS SPECIFIQUES A DES
FONCTIONS DE SURETE RADIOLOGIQUES
VI.1 Maîtrise des réactions nucléaires en chaîne dans le cœur
6.1.1 Les moyens de maîtrise de la réactivité du cœur permettent :
 d’assurer un arrêt automatique rapide du réacteur ;
 d’assurer l’atteinte d’une sous-criticité correspondant à celle visée en état sûr ;
 de pallier une défaillance de l’arrêt automatique du réacteur ;
 d’exclure, dans les états où la cuve est ouverte, l’atteinte des conditions critiques ;
 d’éviter, dans les états où la cuve est fermée et le réacteur est à l’arrêt en fonctionnement
normal, l’atteinte involontaire des conditions critiques.

6.1.2 La réactivité du cœur est contrôlée par deux moyens indépendants et diversifiés. Ces moyens
visent à maintenir le réacteur sous-critique après que l’un d’entre eux l’ait rendu rapidement sous-
critique avec une marge adéquate dans les conditions de fonctionnement de référence.

6.1.3 Lorsque le cœur est critique, la conception neutronique du cœur assure, quel que soit le niveau de
puissance, un comportement intrinsèquement stable par l’effet des contre-réactions neutroniques.
A ce titre :
 le coefficient de vide du réfrigérant primaire est négatif par conception ;
 le coefficient de température du modérateur est négatif depuis les conditions de puissance nulle
à chaud jusqu'aux conditions de fonctionnement nominal, toutes grappes de contrôle en haut
du cœur. Néanmoins, sur la base d’une justification appropriée, quelques grappes de contrôle
peuvent être insérées temporairement dans le cœur afin de satisfaire à ce critère en début de
cycle.
La conception neutronique du cœur est telle que, en situation d’incident ou d’accident, l’effet de vide
est toujours négatif.
6.1.4 En cas d’évolution anormale des paramètres physiques liés à la réactivité, des dispositifs
automatiques assurent, avec une fiabilité élevée, l’arrêt du réacteur.
La durée d’insertion complète des grappes d’arrêt du réacteur est justifiée pour les conditions
nécessitant l’arrêt automatique du réacteur.

6.1.5 Des dispositions de conception sont prévues pour maîtriser les risques spécifiques liés à une
diminution accidentelle de la concentration en poison neutronique en solution.

6.1.6 La diversification des composants principaux assurant l’arrêt automatique du réacteur (mesures
physiques, signaux et traitements associés, disjoncteurs d’arrêt automatique du réacteur) contribue à
l’obtention d’un très haut niveau de fiabilité de la fonction d'arrêt automatique du réacteur.

6.1.7 Des systèmes assurent une surveillance permanente de la concentration de l’eau du circuit
primaire en absorbant neutronique soluble et de la réaction nucléaire, tant qu'un assemblage de
combustible est présent dans la cuve. En particulier, ils permettent la mise en œuvre d’actions
automatiques ou manuelles pour prévenir l’atteinte de la criticité lors d’incidents ou accidents initiés
dans les états d’arrêt du réacteur en fonctionnement normal.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P69/ 97 -
6.1.8 Lorsque l’ensemble du combustible nécessaire au fonctionnement normal du réacteur est chargé
dans le cœur, une instrumentation neutronique redondante et thermo-hydraulique redondante répartie
dans et en dehors du cœur permet :
 de surveiller en continu les réactions nucléaires en chaîne ;
 d’établir des cartographies en trois dimensions de la distribution du flux neutronique dans le
cœur quand ce dernier est critique ;
 de surveiller et de protéger, dans les états en puissance, le cœur contre les risques
d’endommagement du combustible, en utilisant notamment un système fournissant des
informations suffisamment précises sur la distribution de puissance interne au cœur.

VI.2 Evacuation de la puissance thermique issue des

substances radioactives et des réactions nucléaires

VI.2.1 Systèmes d’évacuation de la puissance résiduelle et de

refroidissement du circuit primaire
[Link] Des systèmes assurent l’évacuation de la puissance résiduelle après l’arrêt du réacteur dans les
conditions DBC et les conditions DEC-A ; ils permettent d’amener le réacteur dans un état sûr.

VI.2.2 Système(s) d’injection d’eau de secours dans le cœur

[Link] Des dispositions de conception sont prévues pour faire face aux risques spécifiques liés à une
diminution accidentelle de la quantité d’eau présente dans le circuit primaire principal.
Un (ou des) système(s) permet(tent) de restaurer et de maintenir un inventaire en eau suffisant dans le
circuit primaire pour les conditions de fonctionnement de référence et les conditions DEC-A qui le
nécessitent. Il(s) participe(nt) à l’évacuation de la puissance résiduelle du cœur.

[Link] Si la conception de ce(s) système(s) prévoit de réutiliser l’eau qui s’est échappée depuis le circuit
primaire dans l’enceinte de confinement, le phénomène de colmatage des prises d’eau et les effets que
les débris peuvent avoir en aval de la prise d’eau, y compris sur le combustible en cœur, sont pris en
compte dans la conception.

VI.2.3 Dépressurisation du circuit primaire en situation

accidentelle
[Link] Afin d'assurer une prévention suffisante de la fusion du cœur en cas de défaillances des systèmes
d'évacuation de la puissance du circuit primaire, un moyen de dépressurisation du circuit primaire est
prévu afin de permettre l’injection d’eau en quantité suffisante pour évacuer la chaleur résiduelle
produite dans le cœur.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P70/ 97 -
[Link] Un système de dépressurisation indépendant autant que raisonnablement possible du système
mentionné à l’article [Link], contribue à rendre extrêmement improbables avec un haut degré de
confiance les séquences de fusion du cœur avec maintien d’une pression élevée dans le circuit primaire.
Il assure ses fonctions en cas de perte totale de longue durée des sources électriques internes et externes
de courant alternatif.

VI.2.4 Evacuation de la puissance hors de l'enceinte de

confinement
[Link] Afin de conserver l’intégrité de l’enceinte de confinement, des systèmes sont prévus pour
évacuer la puissance résiduelle hors de l’enceinte de confinement sans relâchement volontaire de
substances radioactives dans les conditions de fonctionnement de référence et dans les conditions
DEC-A conduisant à une élévation de pression et de température dans l’enceinte de confinement, ainsi
que dans les conditions DEC-B.

[Link] L’évacuation hors de l’enceinte de confinement de la puissance résiduelle lors d’un accident
avec fusion du cœur repose sur un système indépendant, autant que raisonnablement possible, des
systèmes utilisés pour évacuer la puissance résiduelle dans les conditions de fonctionnement de
référence et dans les conditions DEC-A.
Si la mise en œuvre de ce système nécessite une alimentation électrique, celle-ci est secourue par une
source autant que raisonnablement possible dédiée à la limitation des conséquences des accidents avec
fusion du cœur.
De plus, si l’utilisation de ce système amène à faire circuler du fluide radioactif en dehors de l’enceinte
de confinement, les possibilités de fuite de ce système sont prises en compte à la conception. Elles ne
remettent pas en cause la capacité du système à accomplir sa mission en cohérence avec les objectifs de
sûreté mentionnés au chapitre II.1 du présent guide.

VI.3 Confinement des substances radioactives

VI.3.1 Conception des EIP assurant le confinement des

substances radioactives
[Link] En application du III. de l’article 3.4 de l’arrêté Article 3.4 de l’arrêté du 07/02/2012
du 7 février 2012, les structures et systèmes IP assurant III. – La fonction de confinement des substances
le confinement des substances radioactives sont conçus radioactives est assurée par l’interposition, entre
et construits de façon à assurer l’efficacité de cette ces substances et les personnes et
fonction tant en fonctionnement normal que lors l’environnement, d’une ou plusieurs barrières
successives suffisamment indépendantes, et si
d’incidents et d’accidents, notamment afin : nécessaire par un système de confinement
 de limiter les fuites directes de substances dynamique. Le nombre et l’efficacité de ces
radioactives dans l’environnement depuis dispositifs sont proportionnés à l’importance et
l’enceinte de confinement ainsi que les à l’impact des rejets radioactifs potentiels, y
situations pouvant conduire à des bipasses de compris en cas d’incident ou d’accident.
l’enceinte de confinement ;
 d’assurer un confinement efficace en fonctionnement normal et lors d’incidents et d’accidents, y
compris lors d’un accident avec fusion du cœur.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P71/ 97 -
[Link] Le confinement des substances radioactives est assuré par des dispositifs statiques et, si
nécessaire, dynamiques.

[Link] Le confinement a une efficacité suffisante pour satisfaire les objectifs de sûreté mentionnés dans
le chapitre II.1 du présent guide. A ce titre :
 pour l’enceinte de confinement et ses traversées, des critères d’étanchéité sont définis ;
 pour les autres bâtiments de l’ilot nucléaire dans lesquels sont présentes ou susceptibles d’être
présentes des substances radioactives, des critères d’étanchéité sont également définis ;
 les systèmes de confinement dynamique sont équipés d’une filtration à l’efficacité appropriée.

[Link] Des moyens sont prévus pour détecter les éventuelles fuites de fluide radioactif dans les
bâtiments périphériques et dans l’enceinte de confinement et pour limiter leurs conséquences.

[Link] La conception prévoit l’utilisation de moyens redondants et, si nécessaire, diversifiés,

d’isolement des circuits connectés au CPP, les possibilités de défaillances de ces moyens et les
équipements de détection associés à ces défaillances.

[Link] Des dispositions de conception sont mises en œuvre pour stabiliser le corium, en ou hors cuve,
pour éviter le percement du radier de l’enceinte de confinement par le cœur fondu et pour assurer la
résistance de l’enceinte de confinement et des dispositifs associés à toute déflagration d’hydrogène.

VI.3.2 Confinement en fonctionnement normal

[Link] Des systèmes sont prévus pour assurer en fonctionnement normal la maîtrise de la pression et
de la température dans l’enceinte de confinement, ainsi que la détection, la surveillance et, lorsque
nécessaire, le traitement des substances radioactives qui pourraient être relâchées dans l’atmosphère de
l’enceinte de confinement.

VI.3.3 Confinement des bâtiments

[Link] Une étanchéité statique appropriée est obtenue pour les bâtiments qui abritent des systèmes et
composants contenant des substances radioactives ou susceptibles d’en contenir, en fonctionnement
normal et lors d’incidents ou d’accidents, notamment pour les bâtiments disposant de traversées
conduisant à l’enceinte de confinement et pour les bâtiments abritant des systèmes et composants
véhiculant un fluide radioactif susceptible de conduire à des rejets en cas de défaillance.
Si nécessaire, des dispositifs de collecte et de traitement de ces substances avant leur rejet sous forme
gazeuse ou liquide dans l’environnement sont mis en place.
Le nombre de traversées conduisant à l’enceinte de confinement est réduit autant que possible afin de
limiter les risques de bipasse du confinement.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P72/ 97 -
 VI.3.4 Systèmes de ventilation
[Link] Les systèmes de ventilation sont conçus de manière à :
 renforcer autant que nécessaire les dispositifs de confinement statique en créant une cascade de
dépressions des locaux à faible risque de contamination vers les locaux ou équipements à risque
plus élevé afin d’éviter la dispersion des substances radioactives dans l’installation (confinement
interne) et d’orienter les effluents gazeux vers des systèmes de traitements adaptés (filtre, pièges
à iodes) avant leurs rejets dans l’environnement ;
 maintenir des conditions d’ambiance acceptables pour les travailleurs en fonctionnement
normal et lors d’incidents et d’accidents (température dans les locaux, teneur en hydrogène et
azote, radioprotection et accessibilité aux locaux lors d’incidents et d’accidents) ;
 éviter la création d’atmosphère explosive (taux de renouvellement d’air) ;
 limiter les risques de rejet de substances radioactives dans l’environnement en cas d’incendie ;
 maintenir, en fonctionnement normal et lors d’incidents et d’accidents, des conditions
ambiantes compatibles avec le fonctionnement et les conditions de qualification des EIP
assurant des fonctions de sûreté radiologiques.

VI.3.5 Surveillance et essais périodiques

[Link] Pour vérifier le respect des critères mentionnés à l’article [Link], l’enceinte de confinement, les
traversées de l’enceinte et leurs systèmes d’isolement, sont conçus et construits de façon qu’il soit
possible de procéder à des essais pour démontrer leur efficacité avant la mise en service du réacteur
puis, périodiquement, à l’occasion des contrôles mentionnés à l’article 8.1.1 de l’arrêté du 7 février
2012.

Article 8.1.1 de l’arrêté du 07/02/2012

L’efficacité de l’enceinte de confinement d’un réacteur électronucléaire est notamment contrôlée :
- avant la mise en service, par une épreuve de réception initiale ;
- après la mise en service et jusqu’à l’arrêt définitif, par des épreuves périodiques programmées de manière à ce
que des résultats datant de moins de trente mois soient présentés dans le rapport de réexamen prévu à l’article L.
593-19 du code de l’environnement ;
- après l’arrêt définitif, dans des conditions fixées par le décret d’autorisation ou les prescriptions édictées par
l’Autorité de sûreté nucléaire pour son application.

Des dispositions de conception sont prises afin de pouvoir déterminer avec un niveau de fiabilité
suffisant l’état réel du confinement procuré par l’enceinte de confinement en fonctionnement normal et
d’être en mesure d’apprécier cet état lors d’incidents et d’accidents, y compris avec fusion du cœur.

[Link] Pour vérifier le respect des critères mentionnés à l’article [Link], les bâtiments de l’ilot nucléaire
abritant des systèmes et composants contenant des substances radioactives sont conçus et construits de
façon qu’il soit possible :
 de procéder à des essais pour démontrer l’efficacité du confinement des substances radioactives
avant la mise en service de l’INB puis périodiquement pendant toute sa durée de vie ;
 ou de justifier leur performance par analyse, compte tenu des dispositions de construction et
d’exploitation retenues.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P73/ 97 -
[Link] Des dispositions de conception permettent la surveillance des performances des systèmes de
confinement dynamique, de filtration/épuration des effluents avant leur rejet dans l’environnement.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P74/ 97 -
 VII AUTRES EXIGENCES ET RECOMMANDATIONS SPECIFIQUES DE
CONCEPTION
Dans le chapitre VII, l’utilisation du terme « système » ne préjuge pas du classement de ce système en tant qu’EIP ou
non.
Par ailleurs, les solutions présentées dans ce chapitre correspondent à de bonnes pratiques de conception, et à ce titre elles
sont données comme une illustration des dispositions pouvant être mises en œuvre. D’autres dispositions peuvent être mises
au point moyennant l’atteinte des objectifs de sûreté visés.

VII.1 Conception des systèmes assurant une fonction support

VII.1.1 Conception des systèmes d’évacuation de la chaleur vers

la source froide et de la source froide
[Link] L’architecture, les exigences définies et la fiabilité des systèmes d’évacuation de la chaleur
produite par le combustible et dissipée par les différents systèmes, structures et composants vers la
source froide sont cohérentes avec l’architecture et l’ensemble des exigences définies des EIP qu’ils
refroidissent.

[Link] Des dispositions sont mises en œuvre pour prévenir les risques de défaillances de la source
froide liés aux agressions externes. La nécessité de dispositions spécifiques, telles que des prises d’eau
éloignées ou diversifiées, ou la constitution d’une réserve de secours, est à apprécier sur la base d’une
étude de caractérisation du site et d’une évaluation de la vulnérabilité de la source froide principale.

[Link] Afin d’interposer plusieurs barrières entre les circuits véhiculant du fluide radioactif, notamment
le fluide primaire, et l’environnement, la conception des systèmes d’évacuation de la chaleur vers la
source froide comporte un système de refroidissement intermédiaire entre les échangeurs de
refroidissement des circuits véhiculant du fluide radioactif et les systèmes véhiculant l’eau brute (source
froide ultime telle que la mer).

VII.1.2 Alimentation électrique

VII.1.2.1 Exigences générales de conception

[Link].1 L’alimentation en énergie électrique de l’installation comporte un système d’alimentation

normale et un système d’alimentation de secours.

[Link].2 Les risques de défaillances de cause commune des composants électriques, notamment des
tableaux électriques, sont réduits, le cas échéant grâce à une diversification appropriée.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P75/ 97 -
 VII.1.2.2 Système d’alimentation électrique normale

[Link].1 Pour réduire les risques de perte des alimentations électriques externes, le système
d’alimentation électrique normale est relié au réseau national de transport d’électricité par au moins
deux lignes électriques. Ces deux lignes sont suffisamment indépendantes l’une de l’autre.

[Link].2 L’architecture et les dispositifs de protection ou d’isolement du système de distribution

électrique au sein de l’installation sont tels que le fonctionnement de l’alimentation électrique normale
en dehors des plages de variation spécifiées ne porte pas atteinte à la disponibilité des équipements du
système d’alimentation électrique de secours et des EIP alimentés.

VII.1.2.3 Système d’alimentation électrique de secours

[Link].1 Le système d’alimentation électrique de secours est capable de fournir, pendant la durée
requise, la puissance électrique aux systèmes nécessaires à l’accomplissement des fonctions de sûreté
radiologiques dans l’hypothèse d’une perte du système d’alimentation électrique normale.

[Link].2 Le système d’alimentation électrique de secours peut être alimenté par le système
d’alimentation électrique normale (sources externes) et comporte des sources de secours internes
dédiées telles que des batteries et des générateurs électriques (groupes électrogènes diesel, groupes
turbo-alternateur…) ou tout autre moyen d’alimentation électrique autonome.

[Link].3 Le système d’alimentation électrique de secours comprend les circuits et composants

nécessaires à la production, la conversion et la distribution de l’énergie électrique aux systèmes assurant
une fonction de sûreté radiologique qui en ont besoin.

[Link].4 L’architecture, les exigences définies et la fiabilité du système d’alimentation électrique de

secours sont cohérentes avec l’architecture et l’ensemble des exigences définies des systèmes assurant
une fonction de sûreté radiologique qu’il alimente.

[Link].5 Le principe d’indépendance énoncé au chapitre IV.1.2 du présent guide s’applique aux voies
redondantes du système d’alimentation électrique de secours. Cette indépendance n’est pas compromise
par les interconnexions à l’alimentation électrique normale.

[Link].6 Les systèmes et composants qui, bien que n’étant pas des EIP, seraient néanmoins alimentés
par le système d’alimentation électrique de secours, ne compromettent pas son indépendance
fonctionnelle, ses performances et sa fiabilité pour l’accomplissement des fonctions de sûreté
radiologiques.

[Link].7 Les alimentations électriques des systèmes du contrôle-commande intervenant en cas

d’événement du domaine de conception de référence ou du domaine de conception étendu est assurée
conformément à leurs exigences fonctionnelles. Ces alimentations sont sans interruption.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P76/ 97 -
[Link].8 L’autonomie des batteries nécessaires à l’alimentation électrique des EIP assurant les fonctions
de sûreté radiologiques est conforme aux exigences fonctionnelles des EIP alimentés. Elle tient, le cas
échéant, compte des délais réalistes27 de récupération des systèmes d’alimentation électrique normale et
de secours, notamment lors d’un événement du domaine de conception étendu.

VII.1.3 Systèmes de conditionnement thermique

[Link] Des systèmes de conditionnement thermique (ventilation, chauffage et climatisation)
garantissent que les conditions d’ambiance dans les locaux n’affectent pas le fonctionnement des EIP
qui s’y trouvent.
L’architecture et les exigences de sûreté des systèmes de conditionnement thermique sont cohérentes
avec l’architecture et les exigences de sûreté des systèmes qu’ils supportent.

VII.2 Contrôle volumétrique et chimique du réfrigérant

primaire
7.2.1 En fonctionnement normal, un (ou des) système(s) permet(tent) de maîtriser les caractéristiques
physico-chimiques du réfrigérant primaire, notamment en vue de :
 limiter la corrosion du circuit primaire et des gaines du combustible ;
 maintenir la radioactivité dans le circuit primaire et les circuits qui y sont connectés à un niveau
aussi bas que raisonnablement possible, notamment par épuration des substances radioactives
(y compris les produits de corrosion activés et les produits de fission issus du combustible) du
réfrigérant primaire.
S’il(s) véhicule(nt) de l’hydrogène, il(s) est(sont) conçu(s) de manière à minimiser le risque d’explosion
d’hydrogène.

7.2.2 En fonctionnement normal, un système permet d’ajuster la quantité d’eau du circuit primaire
principal et sa concentration en absorbant neutronique soluble.

27 « Réaliste », ici, veut dire tenant compte du retour d’expérience et des conditions dégradées.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P77/ 97 -
 VII.3 Manutention et entreposage du combustible nucléaire

VII.3.1 Manutention des assemblages de combustible

[Link] Les systèmes de manutention du combustible sont conçus de façon à :
 permettre d’identifier précisément chaque assemblage de combustible inséré dans ou retiré de la
cuve ;
 permettre certaines inspections du combustible ;
 prévenir tout endommagement de la structure ou du gainage des assemblages de combustible
lors d’une manutention, y compris lors de situations d’incidents ou d’accidents (séisme, perte
d’alimentations électriques) ;
 prévenir toute chute d’assemblage de combustible en cours de manutention, y compris lors de
situations d’incidents ou d’accidents (séisme, perte d’alimentations électriques) ;
 prévenir toute chute sur les assemblages de combustible d’objets lourds, tels qu’emballages de
transport, ponts roulants ou autres objets susceptibles de les endommager ;
 permettre la dépose en position sûre d’un assemblage en cours de manutention lorsque
nécessaire.

[Link] Les bâtiments où se déroulent les manutentions d’assemblages de combustible disposent d’un
confinement adéquat, en cohérence avec les objectifs de sûreté mentionnés au chapitre II.1 du présent
guide.

VII.3.2 Entreposage à sec des assemblages de combustible neufs

[Link] La conception de l’entreposage à sec des assemblages de combustible neufs permet d’assurer les
fonctions de sûreté radiologiques, y compris en cas d’agression.

[Link] La conception de l’entreposage à sec des assemblages de combustible neufs permet de garantir
l’absence de toute situation de criticité, avec une marge spécifiée, par des moyens ou procédés
physiques, dans les conditions normales d’entreposage, ainsi que lors d’incidents et d’accidents
(notamment pour les agressions) susceptibles de modifier les conditions de modération compte tenu de
la présence d’eau.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P78/ 97 -
 VII.3.3 Entreposage sous eau du combustible
[Link] L’entreposage des assemblages de combustible est conçu de telle sorte que sa capacité soit
suffisante pour recevoir à tout instant la totalité du cœur chargé dans la cuve du réacteur.
La capacité d’entreposage des assemblages de combustible dans l’installation est déterminée notamment
en fonction :
 de la puissance du réacteur ;
 des gestions combustibles envisagées ;
 de la durée prévisionnelle de fonctionnement du réacteur et des filières (existantes ou prévues)
d’entreposage ou de traitement des combustibles usés.

[Link] L’entreposage des assemblages de combustible est conçu de manière à garantir l’absence de
toute situation de criticité, avec une marge spécifiée, dans les conditions normales d’entreposage, ainsi
que lors d’incidents et d’accidents.

[Link] Au titre de l’article 3.2.6, l’entreposage des assemblages de combustible est conçu de manière à
garantir l’absence de découvrement d’assemblages de combustible irradiés entreposés sous eau ou en
cours de manutention en cas de chute de charge.

[Link] L’entreposage des assemblages de combustible est conçu de manière à garantir un niveau
d’irradiation dans le bâtiment compatible avec les activités des travailleurs et intervenants extérieurs
prévues dans les conditions normales d’entreposage, ainsi que lors d’incidents et d’accidents.

[Link] La piscine d’entreposage des assemblages de combustible est pourvue d’un système de
refroidissement principal qui assure en fonctionnement normal l’évacuation de la puissance résiduelle et
le bon fonctionnement des systèmes de traitement et de purification de l’eau des piscines ainsi que des
systèmes participant au confinement des bâtiments abritant les piscines.

[Link] Dans les conditions de fonctionnement de référence, lors d’une agression de référence et lors de
conditions DEC-A impliquant la seule perte du système de refroidissement principal de la piscine
(utilisé en conditions DBC), la conception de l’installation permet de maintenir l’eau de la piscine à une
température inférieure à la température d’ébullition avec une marge suffisante au regard des objectifs de
sûreté définis au paragraphe II.1.2 en prenant en compte la fréquence estimée de l’événement
considéré.

[Link] Dans le cas de la perte totale des systèmes de refroidissement de l’eau de la piscine, un (ou des)
système(s) permet(tent) :
 d’éviter le découvrement des assemblages de combustible en compensant suffisamment la perte
d’eau par ébullition ;
 d’établir un niveau d’eau dans la piscine suffisant pour la remise en service d’un système de
refroidissement.

[Link] La mise en œuvre et le fonctionnement d’un système de refroidissement de la piscine

d’entreposage des assemblages de combustible sont possibles après une perte de refroidissement
prolongée ayant conduit à l’ébullition et permettent d’atteindre et de maintenir un état sûr.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P79/ 97 -
[Link] La conception permet, en permanence, une surveillance du niveau et de la température de l’eau
présente dans la piscine d’entreposage des combustibles. La piscine d’entreposage des assemblages de
combustible dispose de moyens de contrôle de la composition chimique et de la radioactivité de l’eau
de refroidissement. La piscine d’entreposage des assemblages de combustible dispose de moyens de
détection et de collecte d’éventuelles fuites.

[Link] La conception de l’installation est telle que toute fuite ou brèche survenant sur un circuit
connecté à la piscine d’entreposage des assemblages de combustible ne conduit pas à un découvrement
des assemblages de combustible entreposés ou en cours de manutention.

En tout état de cause, la partie basse du (ou des) compartiment(s) abritant les râteliers d’entreposage
des assemblages de combustible ne comporte aucune ligne connectée, ne peut pas être vidée par
siphonage et ne peut pas être dénoyée par une perte d’eau affectant un compartiment adjacent.

[Link] Le dimensionnement des éléments structurels des compartiments d’entreposage présente des
marges importantes au regard des chargements susceptibles d’être rencontrés (séisme de référence,
chute de charge, contraintes thermiques dues à une ébullition…).
Les éléments structurels ont une résistance suffisante pour que le compartiment d’entreposage assure
ses fonctions de sûreté en cas de séisme du domaine de conception étendu.

VII.3.4 Opérations d’exploitation sur les assemblages de

combustible
[Link] La conception permet d’exclure toute situation de criticité résultant de l’endommagement d’un
ou plusieurs assemblages de combustible lors de leur transport, leur manutention, leur entreposage dans
l’installation ou lors des opérations de réparation ou d’examen.

VII.4 Contrôle-commande

VII.4.1 Règles de conception du contrôle-commande

[Link] L’architecture du contrôle commande est conçue :
 de telle sorte que les fonctions de contrôle-commande répondent aux niveaux d’exigences liés à
leur classement de sûreté ;
 en recherchant une indépendance suffisante entre les fonctions relevant de différents niveaux
de la défense en profondeur ;
 en prenant en compte les défaillances plausibles. En particulier, les conséquences de mises en
service intempestives d’équipements dues à la défaillance d’un composant dans les systèmes de
contrôle-commande sont considérées pour identifier les points faibles, s’il y en a, dans la
séparation des équipements redondants et dans les systèmes de contrôle-commande et
améliorer la conception en tant que de besoin.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P80/ 97 -
[Link] Une analyse fonctionnelle permet de répartir au mieux les actionneurs au sein des divers
équipements afin de prévenir l’occurrence d’une condition de fonctionnement de référence de catégorie
3 ou 4 ou d’une perte d’une fonction de sûreté radiologique à la suite d’une défaillance d’un unique
composant matériel.

[Link] La conception du contrôle-commande, notamment des systèmes numériques, suit des règles
préétablies permettant d’éviter l’introduction de défauts dans un système. Ces règles sont appliquées
durant tout le cycle de vie du système incluant la spécification du système, sa production, son
exploitation et sa maintenance.

[Link] L’évitement des défauts est complété par une approche analytique visant l’élimination des
défauts. Cette approche inclut des procédures telles que des inspections, des relectures, des audits, des
revues, des preuves d’exactitude, des analyses statiques et différents essais de validation avec analyse de
couverture de test.
La profondeur des analyses et des justifications est proportionnée au niveau d'exigences dont le système
de contrôle commande est redevable.

[Link] Pour tenir compte des défauts qui subsisteraient en dépit de toutes les dispositions prises pour
les éviter et les éliminer, des dispositions visant à atténuer les conséquences des défauts sont introduites
dans la conception. Ainsi, au titre de la défense en profondeur, il est notamment nécessaire de :
 mettre en place une diversification fonctionnelle des fonctions d’arrêt automatique du réacteur
afin de pallier une hypothétique erreur dans la spécification ou dans la réalisation de certaines
fonctions, au moyen d’autres fonctions visant les mêmes objectifs à partir de signaux physiques
différents ;
 pallier, par un moyen diversifié, une hypothétique défaillance technologique de cause commune
du système de protection dans certaines situations identifiées notamment par les études
probabilistes de sûreté réalisées pour l’installation ;
 prendre en considération les possibilités de défaillance des systèmes assurant le contrôle-
commande des fonctions nécessaires à l’atteinte de l’état sûr.
Un équilibre doit être obtenu entre l’efficacité apportée par la diversification et la complexité qu’elle
introduit.

VII.4.2 Instrumentation
[Link] Une instrumentation est prévue pour mesurer les principales grandeurs caractérisant les
réactions nucléaires, l’intégrité des gaines du combustible, l’efficacité du refroidissement du combustible
et l’état du confinement des bâtiments de l’ilot nucléaire, et pour obtenir les informations sur
l’installation qui sont nécessaires pour l’exploiter de manière fiable et sûre en limitant les atteintes aux
intérêts mentionnés à l’article L. 593-1 du code de l’environnement. L’instrumentation est adaptée
(plage de mesure, localisation, qualification…) aux situations dans lesquelles elle est requise.

[Link] L’instrumentation et les modalités d’enregistrement automatique des grandeurs pertinentes pour
apprécier la sûreté nucléaire sont choisis et conçus afin de disposer des informations nécessaires pour
détecter un incident ou un accident, surveiller son évolution, l’état des barrières de confinement et des
fonctions de sûreté radiologiques.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P81/ 97 -
[Link] L’instrumentation permet :
 d’appliquer les procédures ou guides de conduite ;
 de prendre les décisions concernant la gestion des événements du domaine de conception de
référence et du domaine de conception étendu.

En particulier une instrumentation permet de se prononcer sur un éventuel percement de la cuve et sur
la présence d’hydrogène dans l’enceinte de confinement.

VII.4.3 Régulations et limitations

[Link] Les fonctions de régulation sont conçues pour maintenir les différentes variables caractéristiques
du fonctionnement de l’installation dans les limites spécifiées du fonctionnement normal.

[Link] En complément des fonctions de régulation, des fonctions de limitation peuvent être
introduites pour, en cas de sortie du domaine de fonctionnement normal, participer au retour de
l’installation dans ce domaine ; ces fonctions visent en particulier à éviter l’atteinte des seuils de
protection déclenchant l’arrêt automatique du réacteur et la mise en service des systèmes assurant une
fonction de sûreté radiologique pour les conditions de fonctionnement de référence.

VII.4.4 Système de protection du réacteur

[Link] Dans les conditions de fonctionnement de référence, le système de protection du réacteur
permet, en cas d’échec ou d’inefficacité des fonctions de régulation et des éventuelles fonctions de
limitation, le déclenchement des actions automatiques de protection du réacteur, y compris les systèmes
d’arrêt automatique du réacteur, de sorte que les critères techniques d’acceptation définis au chapitre
III.3 du présent guide ne soient pas dépassés. Il participe à la réalisation des fonctions de sûreté
radiologiques dans les conditions de fonctionnement DEC-A qui ne postulent pas son indisponibilité.

[Link] Le système de protection est conçu de manière à présenter une très haute fiabilité. Le système
de protection de l’installation appartient à la classe de sûreté nucléaire la plus élevée et à ce titre satisfait
à l’ensemble des exigences précisées au chapitre IV.2.1 du présent guide. Une attention particulière est
portée à la réduction des possibilités de défaillances de cause commune.

[Link] Le système de protection est indépendant, au sens énoncé au chapitre IV.1.2 du présent guide,
des systèmes appartenant à une classe de sûreté inférieure. Si des signaux sont utilisés conjointement
par le système de protection et par un autre système de contrôle-commande, une séparation appropriée
des systèmes est assurée et le respect de l’ensemble des exigences de sûreté nucléaire du système de
protection est vérifié à la conception.

[Link] La conception du système de protection vise à ce que l’un des événements suivants ou leur
cumul n’entraîne pas la perte d’une fonction du système de protection :
 une défaillance unique interne au système de protection ou à un autre système lui transmettant
des informations requises par les fonctions de protection ;
 une mise hors service volontaire d’un composant ou d’une voie quelconque du système de
protection (par exemple pour des raisons d’essai périodique ou de maintenance).

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P82/ 97 -
[Link] La conception est telle que les ordres donnés aux actionneurs par le système de protection sont
prioritaires sur les ordres envoyés par les autres systèmes de contrôle-commande.
La conception empêche autant que possible les actions inappropriées de l’opérateur susceptibles de
rendre le système de protection indisponible en fonctionnement normal et lors d’incidents et
d’accidents. Le système de protection n’empêche en revanche pas l’accomplissement des actions
manuelles requises.

[Link] La conception permet que des essais périodiques décèlent les défaillances et les pertes de
redondance qui pourraient se produire. Sauf exception justifiée, la conception du système de protection
permet de tester tous les aspects de la fonctionnalité d’une chaîne de protection, depuis le capteur
jusqu’au signal d’entrée dans l’actionneur final.

VII.4.5 Salles de commande

[Link] La salle de commande principale permet la conduite de l’installation en fonctionnement normal,
et lors d’incidents et d’accidents, y compris les accidents avec fusion du cœur.
A ce titre, la salle de commande principale :
 permet aux opérateurs de conduire le réacteur de manière sûre en fonctionnement normal. Des
dispositifs sont notamment prévus pour fournir aux opérateurs des indications visuelles ou
sonores et pour les alerter de toute anomalie de fonctionnement susceptible d’affecter la sûreté
nucléaire ;
 est conçue de manière à fournir une information appropriée et suffisante aux opérateurs :
o pour réaliser un diagnostic de l’état de l’installation et de l’efficacité des fonctions de
sûreté radiologiques ;
o pour vérifier la disponibilité des moyens techniques et humains devant intervenir pour
faire face à la situation retenue ;
o pour évaluer les effets de leurs actions.
Les délais retenus à la conception pour les tâches des opérateurs en salle de commande tiennent
notamment compte de la complexité et de la variabilité des situations rencontrées.

[Link] Dans le cas où des moyens de conduite informatisés sont retenus comme interface privilégiée
avec les opérateurs, leur conception fait l’objet d’une attention particulière pour éviter les modes de
défaillance spécifiques de ces matériels, tirer parti des avantages apportés par les moyens informatiques
et renforcer la capacité de l’équipe de conduite à effectuer les actions de conduite.

[Link] Dans le cas où des moyens de conduite informatisés sont retenus comme interface privilégiée
avec les opérateurs, des dispositions appropriées sont prises pour que l’équipe de conduite puisse
conduire l’installation de façon sûre en cas de défaillance partielle ou totale de moyens de conduite
informatisés.
La conception prévoit à cette fin une interface de secours. Cette interface de secours répond à un
niveau d’exigences approprié pour gérer l’ensemble des incidents et accidents susceptibles de se
produire à la suite d’un événement déclencheur.
L’indisponibilité éventuelle des moyens de conduite informatisés est détectée par un moyen faisant
l’objet d’exigences adéquates.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P83/ 97 -
[Link] Des informations et des moyens de conduite et de commande appropriés, disposés dans une
salle de commande de secours séparée physiquement de la salle de commande principale, permettent de
ramener et de maintenir l’installation dans un état sûr en cas d’indisponibilité de la salle de commande
principale. Ils sont conçus de manière suffisamment proche de ceux présents dans la salle de
commande principale pour que les opérateurs puissent effectuer de façon sûre leurs tâches.
Des dispositions de séparation électrique empêchent que les événements provoquant l’indisponibilité
de la salle de commande principale ne rendent indisponibles les fonctions assurées depuis la salle de
commande de secours.

[Link] Les effets des événements du domaine de conception de référence et du domaine de conception
étendu sont pris en compte dans la définition des dispositions à mettre en œuvre pour assurer
l’habitabilité et l’accessibilité de la salle de commande principale ou, à défaut, de la salle de commande
de secours.

[Link] Des dispositions de protection des occupants de la salle de commande principale et de la salle
de commande de secours sont prises à la conception au regard des rayonnements ionisants dus aux
conditions accidentelles et des substances radioactives ou dangereuses relâchées.

VII.5 Gestion de crise

7.5.1 Les locaux de gestion des situations d’urgence mentionnés au II de l’article 7.3 de l’arrêté du
7 février 2012 sont conçus pour résister aux agressions retenues dans le domaine de conception étendu.
L’habitabilité et l’accessibilité des locaux de gestion des situations d’urgence sont assurées, notamment
en cas d’accident avec fusion du cœur du réacteur et d’éventuels rejets radioactifs associés, y compris
pour les situations affectant plusieurs installations du site de façon concomitante.
Ces locaux permettent :
 l’accueil des équipes de crise ;
 la protection et le secours aux personnes impliquées dans la gestion des situations d’urgence ;
 le stockage de tout ou partie des matériels mobiles d’intervention ;
 le recueil et l’exploitation des données liées à l’installation, à la météorologie et à
l’environnement nécessaires à la gestion de la crise ;
 l’alerte et la communication des données locales nécessaires aux autorités et services extérieurs.

Article 7.3 de l’arrêté du 07/02/2012

II. – L’exploitant dispose de locaux de gestion des situations d’urgence sur site ou à proximité permettant la gestion
de la situation et la protection du personnel impliqué dans la situation d’urgence. Ces locaux sont distincts des
locaux habituels de commande de l’installation et conçus de manière à être disponibles et accessibles, y compris
dans les situations d’urgence.

7.5.2 En particulier, les informations nécessaires pour réaliser le diagnostic de l’état de l’installation et la
surveillance des dispositions matérielles nécessaires à la conduite de l’installation au regard des
fonctions de sûreté radiologiques à assurer en situations d’urgence définies au I de l’article 1.3 de
l’arrêté du 7 février 2012 (cf. définition en annexe 1) sont disponibles dans les locaux de gestion de ces
situations d’urgence.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P84/ 97 -
7.5.3 Si la gestion des situations d’urgence nécessite l’utilisation de moyens matériels mobiles, y compris
extérieurs au site, des points de connexion (accès) sont installés pour permettre l’utilisation de ces
moyens et sont accessibles dans toutes les conditions susceptibles d’être rencontrées lors de ces
situations.

VII.6 Gestion des effluents et des déchets radioactifs

7.6.1 La quantité et la nocivité des déchets radioactifs qui sont produits par le fonctionnement puis le
démantèlement de l’installation sont limitées. À cet égard, les dispositions suivantes sont mises en
place :
 l’élaboration du plan de zonage déchet défini par l’article 6.3 de l’arrêté du 7 février 2012 et
précisé par la décision n° 2015-DC-0508 de l’ASN du 21 avril 2015 relative à l’étude de la
gestion des déchets et au bilan des déchets produits dans les INB, notamment l’étude des
mécanismes de dissémination de substances radioactives ou d’activation des structures sont
intégrées dès la conception de l’installation en vue de limiter l’étendue et la complexité de la
délimitation des zones à production possible de déchets nucléaires et de faciliter le contrôle des
flux de déchets et d’équipements contaminés ;
 les matériaux utilisés dans l’installation sont choisis en veillant à ce que leurs propriétés,
notamment chimiques, soient adaptées aux phénomènes auxquels ils sont susceptibles d’être
soumis. Les matériaux sont par ailleurs choisis en tenant compte des filières de gestion de
déchets radioactifs afin que le volume et la nocivité des déchets produits soient limités autant
que possible, le cas échéant après traitement.
À cet égard, la sélection des matériaux vise en particulier à :
o limiter l’activation, y compris des éventuelles impuretés présentes dans le matériau, tout
particulièrement lorsque les produits d’activations sont à vie longue ;
o limiter la présence de toxiques chimiques, d’isolants fibreux, d’espèces complexantes ou
d’éléments pyrophoriques dans les déchets ;
o minimiser la dissémination de produits de corrosion activés ;
o faciliter la décontamination des surfaces ;
o ce que le cas échéant et dans le cadre d’un zonage au plus près, certains équipements
(DEEE, batteries, …) utilisés en zone à production possible de déchets nucléaires
puissent faire l’objet d’une protection adaptée en vue de prévenir leur contamination ;
 les équipements utilisés dans l’installation sont sélectionnés de manière à limiter la quantité de
déchets radioactifs produits lors des opérations de maintenance.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P85/ 97 -
7.6.2 La réduction de la quantité et de la nocivité des effluents radioactifs produits est mise en œuvre
dans le cadre d’une démarche d’optimisation, incluant une évaluation détaillée du retour d’expérience
existant. Cette optimisation tient compte des considérations de radioprotection.
Dans ce cadre sont notamment traités :
 la caractérisation des substances en présence dans l’installation (nature (chimique,
radiochimique, biologique), quantité) ;
 la localisation et les cheminements des effluents radioactifs dans l’installation ;
 la limitation à la source des effluents produits ;
 la collecte et l’orientation des différentes catégories de déchets et d’effluents, en attachant une
attention particulière aux performances des moyens de détection, de contrôle et de mesure des
substances mises en œuvre au sein de l’installation ;
 la prise en compte de la capacité de dilution et de la sensibilité du milieu récepteur.

7.6.3 Des dispositions sont prises pour la collecte, le traitement et le rejet des effluents radioactifs
induits par le fonctionnement normal de l’installation. La gestion des effluents radioactifs qui
pourraient résulter d’incidents ou d’accidents, y compris avec fusion de combustible, est envisagée dès
la conception.

7.6.4 La conception des systèmes participant à la gestion des effluents radioactifs et des zones qu’ils
traversent tient compte des risques de perte d’intégrité des circuits associés.

7.6.5 Les systèmes de collecte, de traitement, d’entreposage et de contrôle des effluents et des déchets
radioactifs ainsi que les structures qui les abritent permettent de limiter les rejets de substances
radioactives dans l’environnement en cas d’agression interne et d’agression externe. En particulier, leur
conception permet de respecter les articles [Link].2 et [Link].2.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P86/ 97 -
 VIII DOCUMENTATION DE CONCEPTION
8.1 La documentation concernant la conception de l’installation et ses évolutions est tenue à jour
pendant l’exploitation de l’installation jusqu’à son déclassement.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P87/ 97 -
 ANNEXE 1

Définitions

Définitions issues de la réglementation

Activité importante Activité importante pour la protection des intérêts mentionnés à l'article L.
pour la protection 593-1 du code de l'environnement (sécurité, santé et salubrité publiques,
protection de la nature et de l'environnement), c'est-à-dire activité
participant aux dispositions techniques ou d'organisation mentionnées au
deuxième alinéa de l'article L. 593-7 du code de l'environnement ou
susceptible de les affecter.

Agression interne, Tout événement ou situation qui trouve son origine respectivement à
agression externe l’intérieur ou à l’extérieur de l’installation nucléaire de base et qui peut
entraîner de manière directe ou indirecte des dommages aux éléments
importants pour la protection ou remettre en cause le respect des exigences
définies.

Cœur Partie d’un réacteur nucléaire à fission dans laquelle est placé le combustible
nucléaire et qui est agencée de manière à permettre une réaction de fission
en chaîne.

Conservatif (-ive) Se dit d'un procédé de calcul ou d'une démarche fondés sur des hypothèses
qui majorent les effets des phénomènes pouvant altérer les performances
d'un matériau, d'un équipement ou d'une installation et affecter la sûreté
nucléaire ou la radioprotection.

Criticité État d’un milieu dans lequel s’entretient à niveau constant une réaction
nucléaire en chaîne.

Défaillance interne Dysfonctionnement, panne ou endommagement d’un élément de

l’installation ou présent dans l’installation, y compris résultant d’actions
humaines inappropriées.

Démonstration de Ensemble des éléments contenus ou utilisés dans le rapport préliminaire de

sûreté nucléaire sûreté et les rapports de sûreté mentionnés aux articles 8, 20, 37 et 43 du
décret du 2 novembre 2007 susvisé et participant à la démonstration
mentionnée au deuxième alinéa de l’article L. 593-7 du code de
l’environnement, qui justifient que les risques d’accident, radiologiques ou

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P88/ 97 -
 non, et l’ampleur de leurs conséquences sont, compte tenu de l’état des
connaissances, des pratiques et de la vulnérabilité de l’environnement de
l’installation, aussi faibles que possible dans des conditions économiques
acceptables.

Effet falaise Altération brutale du comportement d'une installation, que suffit à

provoquer une légère modification du scénario envisagé pour un accident
dont les conséquences sont alors fortement aggravées.

Effluent Tout fluide, liquide ou gazeux, issu de l’installation susceptible d’être rejeté
dans le milieu récepteur directement ou indirectement.

Effluent radioactif Effluent dont la nature, l’origine ou les caractéristiques radiologiques

justifient la mise en œuvre de dispositions pour la protection des personnes
et de l’environnement contre les risques ou nuisances liés aux
rayonnements ionisants.

Elément important pour Elément important pour la protection des intérêts mentionnés à l’article L.
la protection (EIP) 593-1 du code de l’environnement (sécurité, santé et salubrité publiques,
protection de la nature et de l’environnement), c’est-à-dire structure,
équipement, système (programmé ou non), matériel, composant, ou logiciel
présent dans une installation nucléaire de base ou placé sous la
responsabilité de l’exploitant, assurant une fonction nécessaire à la
démonstration mentionnée au deuxième alinéa de l’article L. 593-7 du code
de l’environnement ou contrôlant que cette fonction est assurée.

Evénement déclencheur Défaillance interne, ou agression interne ou externe, susceptible d’être à

l’origine, directement ou indirectement, d’une situation d’incident ou
d’accident.

Exigence définie Exigence assignée à un élément important pour la protection, afin qu’il
remplisse avec les caractéristiques attendues la fonction prévue dans la
démonstration mentionnée au deuxième alinéa de l’article L. 593-7 du code
de l’environnement, ou à une activité importante pour la protection afin
qu’elle réponde à ses objectifs vis-à-vis de cette démonstration.

Exploitant Personne physique ou morale exploitant une installation nucléaire de base,

que sa situation soit régulière ou non, ou ayant déposé une demande
d’autorisation de création prévue par l’article L. 593-7 du code de
l’environnement en vue d’exploiter une telle installation.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P89/ 97 -
Facteurs Facteurs ayant une influence sur la performance humaine, tels que les
organisationnels et compétences, l’environnement de travail, les caractéristiques des tâches, et
humains l’organisation.

Fonctionnement normal Fonctionnement de l’installation qui comprend l’ensemble des états et des
opérations courants de l’installation, y compris les situations de
maintenance ou d’arrêt programmées, que les matières radioactives soient
présentes ou non ; relève également du fonctionnement normal toute
situation définie comme telle dans la démonstration mentionnée au
deuxième alinéa de l’article L. 593-7 du code de l’environnement.

Incident ou accident Tout événement non prévu en fonctionnement normal ou en

fonctionnement en mode dégradé et susceptible de dégrader la protection
des intérêts mentionnés à l’article L. 593-1 du code de l’environnement ; les
conséquences potentielles ou réelles d’un accident sont plus graves que
celles d’un incident.

Radioprotection La radioprotection est la protection contre les rayonnements ionisants,

c'est-à-dire l'ensemble des règles, des procédures et des moyens de
prévention et de surveillance visant à empêcher ou à réduire les effets
nocifs des rayonnements ionisants produits sur les personnes, directement
ou indirectement, y compris par les atteintes portées à l'environnement.

Réactivité Dans un milieu multiplicateur de neutrons, écart relatif, par rapport à 1, du

facteur de multiplication effectif.

Situation d’urgence Situation d’urgence radiologique telle que définie à l’article R. 1333-76 du
code de la santé publique, ou toute autre situation de nature à affecter
gravement les intérêts mentionnés à l’article L. 593-1 du code de
l’environnement et nécessitant des actions immédiates de la part de
l’exploitant.

Sous-critique Se dit d’un milieu dont le facteur de multiplication effectif est inférieur à 1.

Substance dangereuse Substance, préparation ou mélange, qui répond aux critères relatifs aux
dangers physiques, aux dangers pour la santé ou aux dangers pour
l’environnement définis par l’arrêté du 20 avril 1994 modifié relatif à la
classification, l’emballage et l’étiquetage des substances dangereuses.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P90/ 97 -
Sûreté nucléaire La sûreté nucléaire est l'ensemble des dispositions techniques et des
mesures d'organisation relatives à la conception, à la construction, au
fonctionnement, à l'arrêt et au démantèlement des installations nucléaires
de base ainsi qu'au transport des substances radioactives, prises en vue de
prévenir les accidents ou d'en limiter les effets.

Zone à production Zone dans laquelle les déchets produits sont contaminés ou activés ou
possible de déchets susceptibles de l’être.
nucléaires

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P91/ 97 -
 Expressions utilisées dans le présent guide

Aggravant 28 Dans une étude de sûreté, la défaillance unique la plus défavorable d’un
EIP sollicité pour ses effets bénéfiques lors de l’étude d’un incident, d’un
accident ou d’une agression, indépendante de l’événement déclencheur pris
en compte. Le caractère défavorable est déterminé au regard de l’objectif de
l’étude.

Agression de référence Agression interne ou externe prise en compte dans le domaine de

conception de référence.

Condition de Les événements initiateurs uniques (EIU) sont regroupés de manière à

fonctionnement de définir un nombre limité d’événements de référence de telle sorte que les
référence conséquences de chaque événement de référence enveloppent celles du
groupe correspondant. Les transitoires incidentels ou accidentels qui en
découlent, complétés des conditions de fonctionnement normal,
constituent les conditions de fonctionnement de référence.

Critère de défaillance Le critère de défaillance unique (CDU) est une exigence de conception
unique déterministe applicable à certains systèmes IP ; il introduit un requis de
redondance et d’indépendance entre les équipements IP du ou des systèmes
IP qui réalisent une fonction de sûreté, dans l’objectif de fiabiliser la
réalisation de cette fonction.
Un système IP est conçu selon le critère de défaillance unique s'il est
capable de remplir sa fonction de sûreté en dépit d’une défaillance unique
affectant l’un de ses équipements, celle-ci étant indépendante de
l’événement pour lequel le système IP intervient.

Défaillance unique Défaillance d’un équipement suffisante pour empêcher cet équipement
d’accomplir sa fonction de sûreté attendue lorsque requise. Les défaillances
induites par la défaillance de l’équipement font partie de la défaillance
unique.
Deux types de défaillances sont distingués : les défaillances uniques actives
et les défaillances uniques passives.

28Il arrive que l’expression « critère de défaillance unique appliquée à la démonstration de sûreté nucléaire » soit utilisée à la
place du terme « aggravant ».

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P92/ 97 -
Défaillance unique La défaillance unique active est caractérisée par :
active  l’erreur de position d’un équipement mécanique ou électrique ;
 la défaillance à la demande d’un équipement mécanique ou
électrique, lorsqu’un mouvement mécanique est nécessaire pour
accomplir la fonction attendue ;
 la défaillance d’un composant matériel de contrôle-commande
conduisant à la non réalisation de la fonction attendue.
Les fonctionnements intempestifs d’équipements dus à des défaillances du
contrôle-commande sont traités au chapitre VII.4.

Défaillance unique La défaillance unique passive est applicable à un équipement qui n’a pas
passive besoin de changer de position pour réaliser sa fonction de sûreté attendue.
Une défaillance passive peut être notamment :
 une fuite de l’enveloppe sous pression d’un équipement d’un
système de fluide, avec une valeur de taux de fuite conventionnelle29
jusqu’à son isolement. Dans le cas d’une tuyauterie, une telle fuite,
si elle n'est pas détectée et isolée, est supposée s’accroître jusqu’au
débit correspondant à une rupture totale ;
 une défaillance mécanique empêchant l’écoulement normal d’un
fluide.

Etat contrôlé Etat maitrisé d’une INB dans lequel la sous criticité, l’évacuation de la
puissance résiduelle et le confinement des substances radioactives sont
assurés à court terme.
Par « maitrisé », on entend l’absence de toute évolution rapide défavorable
des principaux paramètres caractérisant l’accomplissement des fonctions
précitées.

Etat sûr Etat stabilisé d’une INB dans lequel la sous criticité, l’évacuation de la
puissance résiduelle et le confinement des substances radioactives sont
assurés durablement.
Le caractère « durable » s’apprécie notamment au regard :
 de l’autonomie de l’installation et des possibilités d’appui externe ;
 de la possibilité de réaliser des interventions si nécessaire ;
 des valeurs et de la cinétique d’évolution des principaux paramètres
caractérisant les fonctions précitées.

Evénement initiateur Evénement interne découlant d’une unique défaillance interne.

unique (EIU)

29 La RFS 1.3.a, « Utilisation du critère de défaillance unique dans les analyses de sûreté », fixe à 200l/min cette fuite conventionnelle.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P93/ 97 -
Fonction de sûreté Fonction qui participe directement à l’accomplissement de l’une des
radiologique fonctions fondamentales mentionnées au I de l’article 3.4 de l’arrêté du 7
février 2012.

Fonction support Fonction nécessaire à la réalisation d’une fonction de sûreté radiologique.

Par exemple, les fonctions d’alimentation en électricité ou en eau, de
conditionnement thermique des locaux, sont des fonctions support.

Méthode d’étude Démarche définissant certaines hypothèses (conditions initiales, aux limites
etc.), la prise en compte des incertitudes, les pénalités, les schémas de calcul
et l’enchaînement des calculs nécessaires à l’étude à réaliser, en cohérence
avec les règles de la démonstration de sûreté nucléaire.

Situation plausible Une situation (événement déclencheur ou cumul d’événements

déclencheurs) est considéré comme plausible si sa fréquence estimée est
suffisamment grande ou sa possibilité d’occurrence suffisamment crédible
pour ne pas être négligée dans la démonstration de sûreté nucléaire au
regard des objectifs mentionnés au [Link].

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P94/ 97 -
 ANNEXE 2
Correspondance avec la terminologie utilisée dans les textes internationaux (AIEA, WENRA)

Terminologie internationale Terminologie employée Commentaire

(AIEA, WENRA) dans le guide
Anticipated Operational Condition de fonctionnement de
Incident
Occurrence (AOO), incident référence de catégorie 2
Conditions de
fonctionnement de
Design Basis Accident (DBA)
référence de catégories 3
et 4
Conditions de
Operational states (normal
fonctionnement de
operation & AOO) + DBA
référence
Le domaine de conception de
référence couvre les agressions
internes et externes de référence
pour lesquelles il n’existe pas
Operational states (normal Domaine de conception
clairement de terminologie
operation & AOO) + DBA de référence
internationale identifiée.
+ internal & external hazards
WENRA recommande néanmoins
l’identification d’un « design basis
event » pour les agressions
naturelles.
Le domaine de conception étendu
utilisé dans le présent guide est
équivalent au DEC de WENRA.
La terminologie DEC de l’AIEA
ne retient pas les agressions qui
Design Extension Conditions Domaine de conception
sont qualifiées de « Beyond Design
(DEC) étendu
Basis External Event ».
Les démarches de l’AIEA et du
présent guide restent néanmoins
cohérentes malgré cette différence
de terminologie.
Conditions de
fonctionnement de
référence de catégories 3
Accident conditions
et 4
+ DEC-A
+ DEC-B
Dans ce guide, les événements
déclencheurs comprennent les
Postulated initiating event Événement déclencheur
agressions alors que les textes
(PIE) traité
internationaux sont interprétables à
cet égard.

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P95/ 97 -
 ANNEXE 3
RFS et guides de l’ASN applicables à la date de parution du présent document

Le tableau qui suit présente les règles fondamentales de sûreté (RFS) et guides publiés par l’ASN qui
sont applicables dans leur principe.

Compte tenu notamment d’exigences de sûreté renforcées pour la nouvelle génération de réacteurs
nucléaires à eau sous pression, le présent document présente sur certains points des approches
différentes de celles figurant dans les RFS et guides mentionnés dans le tableau ci-dessous qui ont, pour
la plupart, été élaborés à l’origine de la conception des REP et s’appliquent aux installations
actuellement en exploitation. Ces RFS et guides peuvent ainsi nécessiter des adaptations dans leur
déclinaison. En tout état de cause, les exigences et recommandations mentionnées dans le présent
document priment pour les nouveaux réacteurs.

Référence
Objet
de la RFS ou du Guide
Prise en compte des risques liés aux chutes d’avions
RFS I.2.a du 5/08/1980
Prise en compte des risques d’émission de projectiles par suite
RFS I.2.b du 5/08/1980
de l’éclatement des groupes turbo-alternateur
RFS 2001-01 Détermination du risque sismique pour la sûreté des installations
Prise en compte du risque sismique à la conception des ouvrages
Guide ASN/guide/2/01
de génie civil d’INB
Guide ASN n°13 Protection des installations nucléaires de base contre les
inondations externes
Prise en compte des risques liés à l’environnement industriel et
RFS I.2.d du 7/05/1982
aux voies de communication.
Utilisation du critère de défaillance unique dans les analyses de
RFS I.3.a du 5/08/1980
sûreté
Exigences à prendre en compte dans la conception, la
RFS IV.2.b du 31/07/1985 qualification, la mise en œuvre et l’exploitation des matériels
électriques appartenant aux systèmes électriques classés de sûreté
RFS 2002-01 RFS relative au développement et à l’utilisation des EPS
RFS I.3.b du 08/06/1984 Instrumentation sismique
Etudes géologiques et géotechniques du site ; détermination des
RFS I.3.c du 01/08/1985
caractéristiques des sols et études du comportement du terrain
RFS V.1.b du 10/06/1982 Moyens de mesures météorologiques
RFS II.4.1.a du 15/05/2000 Logiciels des systèmes électriques classés de sûreté
Règles générales applicables à la réalisation des assemblages de
RFS V.2.e
combustible

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P96/ 97 -
 15-21 rue Louis-Lejeune
92120 Montrouge

Téléphone 01 46 16 40 16
Télécopie 01 46 16 41 47

Conception des réacteurs à eau sous pression

Projet de guide de l’ASN n° 22 •
Version du 27/07/2016 - P97/ 97 -