RÉPUBLIQUE FRANÇAISE

DIRECTION DES CENTRALES NUCLEAIRES

Montrouge, le 2 juillet 2021

Réf. : CODEP-DCN-2021-012726 Monsieur le Directeur du projet EPR2

EDF/DIPNN/DP EPR2
Tour AREVA-BAL1051C-4
Place Jean Millier
92400 LA DEFENSE (Courbevoie)

Objet : Projet de réacteur type EPR 2 : Contenu du rapport préliminaire de sûreté

Réf. : Voir in fine

Monsieur le Directeur,

L’article R. 593-14 du code de l’environnement dispose que « toute personne qui prévoit d’exploiter une installation
nucléaire de base peut demander à l’Autorité de sûreté nucléaire, préalablement à l’engagement de la procédure d’autorisation de
création , un avis sur tout ou partie des options qu’elle a retenues pour assurer la protection des intérêts mentionnés à l’article
L. 593-1 ».

Dans ce cadre, EDF a sollicité en 2016, par lettre en référence [2], l’avis de l’ASN sur les principales options
de sûreté d’un projet d’un nouveau modèle de réacteur, appelé EPR nouveau modèle (EPR NM). Le dossier
d’options de sûreté (DOS), transmis en support à cette demande, présente le référentiel de sûreté applicable à
ce projet de réacteur et les principales options de conception à l’étude.

Par ailleurs, par lettre en référence [3], EDF a communiqué à l’ASN sa décision de faire évoluer la
configuration technique retenue vers une nouvelle version appelée EPR2.

À la suite de son instruction, l’ASN a rendu le 16 juillet 2019 son avis n° 2019-AV-0329 en référence [4]. Cet
avis ainsi que la présente lettre tiennent compte des évolutions introduites par la configuration du réacteur
EPR2.

L’instruction a également permis d’identifier des études et justifications complémentaires à apporter en vue
d’une éventuelle demande d’autorisation de création d’installation nucléaire de base. Celles-ci sont précisées
en annexe.

En outre, l’ASN rappelle que le rapport préliminaire de sûreté (RPS) accompagnant une demande
d’autorisation de création doit être établi conformément aux préconisations de la décision de l’ASN
n° 2015-DC-0532 en référence [5], en particulier son titre IV relatif au contenu du RPS.
Enfin, vous avez pris lors de l’instruction un certain nombre d’engagements, que l’ASN a considérés pour
établir sa position sur les options de sûreté du réacteur. La validité de l’avis de l’ASN est ainsi conditionnée au
respect de ces engagements.

Je vous prie d’agréer, Monsieur le Directeur, l’expression de ma considération distinguée.

Signé par le directeur général adjoint

Julien COLLET

2 /37
 REFERENCES

[1] Code de l’environnement.

[2] Lettre du projet EPRNM du 15 avril 2016
[3] Lettre EDF ENM-PPPPPP-00006-ASNDCN du 30 janvier 2018
[4] Avis de l’ASN n° 2019-AV-0329 le 16 juillet 2019
[5] Décision n° 2015-DC-0532 de l’ASN du 17 novembre 2015 relative au rapport de sûreté des INB
[6] Guide n° 22 de l’ASN « Conception des réacteurs à eau sous pression » du 18 juillet 2017
[7] Guide n° 28 de l’ASN « Qualification des outils de calcul scientifique utilisés dans la démonstration de
sûreté nucléaire » du 26 juillet 2017
[8] Règle fondamentale de sûreté 2002-01 du 26 décembre 2002 relative au développement et utilisation
des études probabilistes de sûreté
[9] Arrêté du 30 décembre 2015 modifié relatif aux équipements sous pression nucléaires et à certains
accessoires de sécurité destinés à leur protection
[10] Arrêté 10 novembre 1999 relatif à l’exploitation du circuit primaire principal (CPP) et des circuits
secondaires principaux (CSP) des réacteurs nucléaires à eau sous pression
[11] Lettre ASN CODEP-DCN-2019-010454 du 27 mai 2019
[12] Lettre CODEP-DCN-2016-007286 du 20 avril 2016 relative aux orientations génériques du réexamen
périodique associé aux quatrièmes visites décennales des réacteurs de 900 MWe d’EDF
[13] Lettre CODEP-DCN-2019-009228 du 11 décembre 2019 relative aux orientations de la phase générique
du quatrième réexamen périodique des réacteurs de 1300 MWe d’EDF (RPA-1300)
[14] Report WENRA safety reference levels for existing reactors, 17 February 2021
[15] Décision n° 2008-DC-0114 de l’ASN du 26/09/2008 fixant à EDF les prescriptions relatives au site
électronucléaire de Flamanville (Manche) pour la conception et la construction du réacteur
« Flamanville 3 » (INB n°167) et pour l’exploitation des réacteurs « Flamanville 1 » (INB n°108) et
« Flamanville 2 » (INB n°109) »
[16] Arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base

3 /37
 ANNEXE LA LETTRE CODEP-DCN-2021-012726

En vue d’une éventuelle demande d’autorisation de création d’une installation nucléaire de base pour
un réacteur type EPR 2, l’ASN attire votre attention sur les aspects suivants.

I. Objectifs de sûreté et référentiels règlementaires et para-réglementaires applicables

A. Objectifs généraux de sûreté

Au cours de l’instruction l’ASN a constaté que des améliorations notables de la conception avaient été retenues
sans que des objectifs de sûreté n’aient été préalablement formulés (e.g. diversification de la source froide et
amélioration de l’indépendance du niveau 4 de la défense en profondeur).

L’ASN note votre engagement de préciser, dans le rapport préliminaire de sûreté (RPS), les objectifs de sûreté
retenus ainsi que les principales évolutions apportées à la conception en lien avec ces objectifs.

I_A1. Le RPS devra également présenter les évolutions de la conception issues de la prise en compte
des enseignements de l’accident de la centrale nucléaire de Fukushima et de la prise en compte du
retour d’expérience de l’instruction et de la mise en service du réacteur EPR de Flamanville.

B. Objectifs associés aux évaluations de conséquences radiologiques

Vous avez retenu comme objectifs associés aux évaluations des conséquences radiologiques les valeurs limites
réglementaires d’exposition annuelle des travailleurs exposés et du public. L’ASN rappelle que l’article
L. 1333-2 du code de la santé publique exige l’application du principe d’optimisation des expositions des
personnes aux rayonnements ionisants. L’ASN considère que ce principe doit être mis en œuvre dès la
conception d’un nouveau réacteur et doit se poursuivre lors de la conception détaillée du réacteur et de son
exploitation.

I_B1. Le RPS devra détailler les objectifs associés aux évaluations des conséquences radiologiques.
Ces objectifs devront être cohérents avec l’avancement de la conception de l’installation et ne devront
pas être en retrait par rapport à ceux du réacteur EPR de Flamanville.

I_B2. Au stade du RPS, EDF devra par ailleurs présenter les évolutions de la conception qui
contribuent à la réduction du niveau d’exposition.

C. Objectifs associés aux études probabilistes de sûreté

Vous avez retenu comme objectif quantitatif de fréquence de fusion du cœur la valeur de 1.10-5 par réacteur
et par an. Cette cible probabiliste est une valeur moyenne qui tient compte de tous les types de défaillances
(humaines et matérielles) et d’agressions (hors actes de malveillance).

Vous avez indiqué que cette valeur cible sera confortée par des analyses d’incertitudes et de sensibilité dont
une synthèse sera présentée dans le RPS.

Par ailleurs, sur la base des études probabilistes de sûreté (EPS), vous prévoyez de vérifier qu’aucune séquence
fonctionnelle ne contribue de façon significative aux risques les plus probables et que les risques pendant les
états d’arrêt seront moindres que les risques en puissance.

4 /37
L’objectif visé en termes de fréquence de fusion du cœur et la démarche définie par EDF pour vérifier son
respect n’appellent pas de remarque de l’ASN. Toutefois, l’ASN note qu’aucune cible probabiliste se référant
à des groupes limités de situations du réacteur (réacteur en puissance, en état d’arrêt, par famille d’initiateurs)
n’a été retenue pour la conception. La définition de telles cibles est recommandée par le guide n° 22 en
référence [6].

I_C1. L’ASN considère que le RPS devra définir des valeurs cibles vis-à-vis du risque de fusion du
cœur et du risque de rejets inacceptables en se référant à des groupes limités de situations du réacteur
(réacteur en puissance, réacteur en état d’arrêt, famille d’initiateurs…).

D. Cadres règlementaire et para-réglementaire

Le DOS ne permet pas de disposer d’une lisibilité suffisante de l’ensemble des référentiels réglementaires et
para-réglementaires applicables au stade de la conception.

I_D1. Conformément à la décision de l’ASN en référence [5] relative au rapport de sûreté des INB,
le RPS devra présenter, de manière exhaustive, l’ensemble des référentiels réglementaires et para-
réglementaires applicables.

II. Démarche générale de conception

A. Démonstration de sûreté

L’ASN note une complexité croissante de la démonstration de sûreté liée, entre autres, aux différents types
d’études réalisées en complément des études d’accident, à savoir des études dites « spécifiques », des études
dites « de sensibilité » et des études de « robustesse », et à leur statut au sein de la démonstration de sûreté.

II_A1. Le RPS devra intégrer toutes les études qui contribuent à la démonstration de sûreté, qu’elles
soient des études dites « de sûreté » ou bien des études réalisées en complément de ces dernières.

B. Méthodes d’étude

II_B1. En application de l’article 4.4.13 de la décision du 17 novembre 2015 en référence [5], le RPS
devra décrire et expliciter les méthodes, données, hypothèses et règles nécessaires à la démonstration
de sûreté nucléaire et préciser et justifier les critères de validation des méthodes, de qualification des
outils de calcul et de modélisation et d’appréciation des résultats obtenus pour démontrer la sûreté
nucléaire.

À cet égard, l’ASN rappelle l’existence du guide n° 28 en référence [7], qui présente les
recommandations relatives à la qualification des outils de calcul scientifique utilisés afin de vérifier
le respect des critères de sûreté associés à la première barrière de combustible.

C. Etudes probabilistes de sûreté

Vous avez indiqué que les études probabilistes de sûreté (EPS) de niveaux 1 et 2 seront communiquées dans
le RPS pour l’ensemble des états de l’installation pour lesquels au moins un élément de combustible se trouve
dans le cœur du réacteur ou dans la piscine d’entreposage.

5 /37
Ces EPS couvriront :
- les événements initiateurs d’origine interne à l’installation (défaillances d’origine matérielle ou
humaine) ;
- les agressions d’origine interne : incendie, inondation et explosion (uniquement dans les locaux des
batteries) ;
- la perte de la source froide principale de sûreté et la perte d’alimentation électrique externe induites
par des agressions d’origine externe, en vérifiant l’absence d’effet falaise au-delà de la durée
conventionnelle de scrutation de 24 h ;
- l’analyse du risque sismique (limitée aux bâtiments de l’ilot nucléaire).

Vous avez indiqué que les EPS seront développées selon les préconisations de l’AIEA et enrichies au fur et à
mesure de l’avancement des études de conception, conformément aux recommandations de la RFS en
référence [8], ce qui est satisfaisant.

II_C1. Une attention particulière devra être accordée aux hypothèses de valorisation des
équipements dans les modèles d’EPS, afin que celles-ci soient cohérentes avec les requis de
conception, de qualification et de suivi en exploitation de ces équipements.

Concernant le développement des EPS de niveau 2, vous distinguez quatre groupes de familles de situations
accidentelles, selon la cinétique et la quantité de rejets associées. Ainsi, vous distinguez :
a. les rejets importants et précoces (avant 24 heures) : les situations conduisant à ce type de rejets doivent être
pratiquement éliminées ;
b. les rejets importants et tardifs (après 24 heures) : les risques associés à ces rejets doivent être résiduels ;
c. les rejets anormaux avec fusion du cœur et non importants : ces rejets pourraient conduire à des conséquences
radiologiques supérieures aux objectifs radiologiques retenus pour les accidents avec fusion du cœur ;
d. les rejets anormaux sans fusion du cœur : il s’agit des rejets associés à des séquences accidentelles ne
conduisant pas à la fusion de combustible, mais ne respectant pas les objectifs radiologiques associées
aux conditions de fonctionnement DBC3, DBC4 et DEC-A.

Pour ce qui est des situations menant à des rejets du groupe c, compte tenu des dispositions prévues à la
conception, vous estimez que le risque correspondant au couple fréquence-conséquences de ces situations est
aussi faible que raisonnablement possible.

II_C2. Le RPS devra quantifier les rejets des séquences accidentelles des différentes familles de
situations accidentelles définies ci-dessus, afin de hiérarchiser les enjeux de sûreté.

Par ailleurs, vous prévoyez d’évaluer la fréquence des situations conduisant à des rejets du groupe d dans l’EPS
de niveau 2.

II_C3. L’ASN considère que, de manière générale, les situations sans fusion du cœur doivent
respecter les objectifs radiologiques des catégories DBC3, DBC4 ou DEC-A (respectivement selon
leur fréquence d’occurrence). Le nombre de situations sans fusion du cœur ne respectant pas ces
objectifs doit être réduit autant que possible. Ces cas doivent être dûment justifiés.

II_C4. Pour les situations conduisant au découvrement du combustible sans fusion du cœur ne
respectant pas les objectifs radiologiques des catégories DBC3, DBC4 ou DEC-A, le RPS devra
quantifier les fréquences d’occurrence et les niveaux de rejets.

6 /37
Etudes probabilistes de sûreté relatives aux agressions

Agressions d’origine interne

Les EPS qui seront présentées avec le RPS correspondront au stade de conception dénommé « basic design ».
Ces EPS seront enrichies ultérieurement, lors de la phase dite de « conception détaillée ». Ainsi, compte tenu
du fait que toutes les informations nécessaires au développement des EPS relatives aux agressions d’origine
interne ne seront pas disponibles à l’échéance du RPS, vous indiquez que des hypothèses conservatives seront
retenues au cas par cas vis-à-vis des initiateurs ou des moyens de limitation des conséquences.

II_C5. Une attention particulière devra être accordée aux hypothèses associées aux zones contenant
des composants, notamment des câbles, dont la défaillance peut affecter simultanément plusieurs
voies d’un même système.

Agressions d’origine externe

Pour ce qui concerne les études probabilistes des agressions naturelles, vous prévoyez de présenter, dans le
RPS, l’analyse dite « de criblage » permettant d’identifier celles, autres que le séisme, à prendre en compte lors
de la conception et qui sont spécifiques au site choisi. Les analyses probabilistes seront ensuite réalisées en
vue de la demande d’autorisation de mise en service de l’installation pour plusieurs agressions, dont la liste
sera établie en début de la phase de conception détaillée.

II_C6. L’ASN attire votre attention sur l’importance de réaliser l’analyse dite « de criblage » des
agressions d’origine externe et de définir en conséquence la liste des agressions à étudier
suffisamment tôt pour permettre ensuite la réalisation des analyses probabilistes à présenter pour la
demande d’autorisation de mise en service de l’installation.

D. Classement de sûreté

Le DOS présente la démarche de classement de sûreté retenue pour déterminer les exigences applicables aux
structures, systèmes et composants (SSC), en cohérence avec leur importance pour la sûreté.

Les exigences en matière électrique, de contrôle-commande et sismique des SSC classés de sûreté n’ont pas
été détaillées dans le DOS.

Par ailleurs, lors de l’instruction du DOS, vous avez apporté des compléments qui ont permis de clarifier la
démarche de classement retenue. Vous avez notamment indiqué que les équipements réalisant une fonction
spécifiquement conçue pour contrôler une agression d’origine interne ou externe, y compris les équipements
passifs statiques, ainsi que les engins de manutention pour lesquels la chute de charge peut avoir un impact
sur la sûreté, sont classés S3. Or, ces compléments apportés lors de l’instruction ne figurent pas dans le DOS.

II_D1. Le RPS devra détailler la démarche de classement retenue et présenter le résultat de sa

déclinaison sur les SSC classés de sûreté de l’installation. Il devra indiquer les exigences mécaniques,
électriques, de contrôle-commande et sismiques des SSC classés de sûreté.

II_D2. Vous veillerez à ce que le RPS inclue l’ensemble des informations transmises au cours de
l’instruction du DOS. Par exemple, le RPS devra mentionner le classement S3 des équipements
réalisant une fonction spécifiquement conçue pour contrôler une agression interne ou externe, y
compris les équipements passifs statiques ainsi que des engins de manutention pour lesquels la
chute de charge peut avoir un impact sur la sûreté.

7 /37
Concernant les exigences relatives aux équipements mécaniques, vous avez proposé de déterminer, à partir de
la classe de sûreté S de l’équipement, un classement Q de qualité de réalisation (conception et fabrication)
selon quatre niveaux Q1, Q2, Q3 et Qc, les niveaux Q1 à Q3 étant principalement fondés sur les Règles de conception
et de construction des matériels mécaniques des îlots nucléaires des réacteurs à eau sous pression (RCC-M), elles-mêmes
graduées en trois niveaux.

Par ailleurs, les équipements relevant de l’arrêté ESPN étant réglementairement classés selon les trois niveaux
N1, N2 et N3 définis au I de son article 3, vous avez proposé, comme pour la classe de sûreté, de déduire de
ce niveau N un niveau Q de qualité de réalisation. Ce dernier étant potentiellement différent de celui issu de
la classe de sûreté, il est nécessaire d’adopter des modalités assurant que le niveau Q retenu in fine soit
compatible avec la classe de sûreté S et le niveau ESPN N.

II_D3. Ainsi que l’ASN vous en a fait part au cours de l’instruction du DOS, la documentation
support au RPS devra :
- décrire comment la classe de sûreté d’un équipement sous pression nucléaire (ESPN) permet
de déterminer les exigences associées ;
- déterminer les exigences associées à un niveau Q de qualité de réalisation d’un ESPN de
façon à ce qu’elles répondent à la fois aux exigences de sûreté attribuées à ces équipements
(issues de leur classement de sûreté) et aux exigences essentielles de sécurité (issues de leur
classement ESPN).

Enfin, votre démarche permet de classer un système ou un composant qui remplit une fonction support à un
niveau inférieur à celui à celui qu’il aurait normalement compte tenu de son rôle dans la démonstration de
sûreté, du fait de son fonctionnement en continu.

II_D4. Le RPS devra démontrer l’absence d’effet falaise en cas de défaillance d’un système ou
composant réalisant une fonction support qui, du fait de sa continuité de service, est classé à un
niveau inférieur.

E. Qualification aux conditions accidentelles

Le DOS présente les grandes lignes de la démarche de qualification des équipements aux conditions
accidentelles. Ce document indique par ailleurs que le référentiel de qualification sera basé, pour ses principes
généraux, sur la dernière version du référentiel de qualification du réacteur EPR de Flamanville, ce qui est
satisfaisant. Néanmoins, ni le processus de qualification, ni les documents qui seront produits pour prononcer
la qualification des équipements du réacteur ne sont décrits.

Le retour d’expérience de l’instruction de cette thématique pour le réacteur EPR de Flamanville a mis en
évidence un certain nombre de difficultés dans la mise en œuvre du processus de qualification. À cet égard,
EDF a indiqué avoir engagé une démarche d’optimisation du processus de qualification des SSC aux
conditions accidentelles sur la base du retour d’expérience du réacteur EPR de Flamanville.

II_E1. La demande d’autorisation de création devra présenter les informations nécessaires

concernant la mise en œuvre du processus de qualification des SSC aux conditions accidentelles.

Par ailleurs, vous prévoyez de reconduire la notion de « familles de conditions d’ambiance », introduite pour le
réacteur EPR de Flamanville, pour définir les exigences de qualification associées aux équipements valorisés
en condition d’accident.

L’ASN considère que la reconduction de familles d’ambiance du réacteur EPR de Flamanville est satisfaisante.
Néanmoins, l’instruction de la qualification aux conditions accidentelles pour le réacteur EPR de Flamanville

8 /37
a montré que vous continuez à faire référence, dans un certain nombre de dossiers de qualification, aux profils
de qualification standardisés utilisés pour les réacteurs d’EDF en fonctionnement.

II_E2. Le RPS devra présenter la méthode d’identification des exigences de qualification des SSC.
Les exigences de qualification de chaque SSC ainsi que les justifications associées, lorsqu’elles sont
disponibles, devront être référencés dans le RPS.

Des incohérences concernant les sollicitations à prendre en compte dans le cadre de la qualification aux
conditions accidentelles ont été soulevées concernant les chapitres 2.7 « Qualification des équipements de contrôle-
commande, des équipements électriques et mécaniques aux conditions accidentelles » et 3.9 « Autres règles d’étude » du
volume 1 du DOS. En effet, le chapitre 3.9 précise que les études de masses et énergies libérées participant à
la définition ou à la vérification des profils de qualification dans l’enceinte sont à réaliser pour l’accident de
perte de réfrigérant du circuit primaire (APRP) et de la rupture d’une tuyauterie de vapeur (RTV) avec une
brèche doublement débattue (2A). Or, le chapitre 2.7 ne fait pas mention de ces situations accidentelles.

II_E3. Le RPS devra faire mention explicite des situations accidentelles APRP 2A et RTV 2A comme
faisant partie des situations à prendre en compte dans le cadre de la qualification des SSC aux
conditions accidentelles.

Enfin, le DOS indique que lorsqu’une agression d’origine interne est la conséquence d’un événement faisant
partie du domaine de conception de référence (DBC) ou lorsqu’une agression d’origine interne induit un
événement DBC, les équipements requis sont, lorsque nécessaire, qualifiés aux conditions accidentelles ainsi
qu’aux conditions d’ambiance résultant de l’agression d’origine interne.

Concernant l’agression résultant de la rupture d’une tuyauterie à haute énergie (RTHE), vous avez indiqué
que, bien que non mentionnée dans le DOS, la démarche retenue pour la qualification des SSC à cette
agression est conforme à celle suivie pour le réacteur EPR de Flamanville.

II_E4. Le RPS devra décrire la démarche retenue pour la qualification des SSC à la rupture d’une
tuyauterie à haute énergie (RTHE).

F. Situations et charges

L’arrêté du 30 décembre 2015 modifié en référence [9] dispose : « L’exploitant qui commande à un fabricant un
équipement sous pression nucléaire ou un ensemble nucléaire lui fournit […] la description des situations dans lesquelles il peut
se trouver définies en cohérence avec le rapport de sûreté [et] l’ensemble des charges constitutives de chaque situation ». L’arrêté
du 10 novembre 1999 en référence [10] classe ces situations selon quatre catégories.

La liste des situations dans lesquelles peuvent se trouver les équipements constituant la deuxième barrière de
confinement du réacteur n’est pas définie à ce jour.

Néanmoins, dans le cadre de l’instruction du DOS, vous avez présenté la démarche envisagée pour définir la
liste des situations dans lesquelles peuvent se trouver le circuit primaire principal et les circuits secondaires
principaux et vous avez pris l’engagement de justifier que la liste des situations couvrira l’ensemble des
conditions de fonctionnement de référence (DBC) et des conditions de fonctionnement avec défaillances
multiples (DEC-A).

Cependant, dans la démarche habituellement retenue et qui est aussi celle envisagée, la liste des situations est
déduite des conditions de fonctionnement de la chaudière, ces conditions de fonctionnement étant
déterminées pour être conservatives vis-à-vis de l’intégrité de la première barrière de confinement.

9 /37
Il n’est pourtant pas établi que ces conditions de fonctionnement permettent de déduire des situations
conservatives vis-à-vis de l’intégrité de la deuxième barrière de confinement. À cet égard, la démarche de
détermination des charges constitutives de chaque situation a également une grande importance. Ainsi, l’ASN
rappelle qu’il a été nécessaire de réexaminer en détail ce sujet pour la cuve du réacteur EPR de Flamanville et
les fonds primaires ségrégés des générateurs de vapeur des réacteurs en fonctionnement.

II_F1. Le RPS devra décrire la démarche d’élaboration de la liste des situations et d’élaboration des
charges des équipements du circuit primaire principal et des circuits secondaires principaux et
justifier de son conservatisme vis-à-vis de l’intégrité de la deuxième barrière de confinement. Ces
éléments devront être intégrés au RPS transmis avec la demande d’autorisation de création.

G. Etudes relatives aux conditions de fonctionnement de référence du réacteur

Démarche d’élaboration de la liste des conditions de fonctionnement de référence

La démarche envisagée pour établir la liste des conditions de fonctionnement de référence DBC a été
présentée dans une note support au DOS. Cette démarche, ainsi que la catégorisation des conditions de
fonctionnement de référence par familles, repose sur celle retenue pour le réacteur EPR de Flamanville.
L’adéquation de la classification retenue au stade du DOS avec la fréquence de l’initiateur doit être vérifiée à
une phase ultérieure du projet. Par ailleurs, certains évènements initiateurs uniques ont été exclus au stade du
DOS sans justification associée.

II_G1. L’ASN note votre engagement de constituer une note décrivant les conclusions des
principales étapes de la démarche suivie pour élaborer la liste des conditions de fonctionnement de
référence. Cette note, qui devra être référencée dans le RPS, justifiera l’adéquation de la liste de
conditions de référence retenues et leur classement par familles. Elle devra inclure également les
justifications associées à l’exclusion de certains initiateurs.

Règles d’étude
Le DOS prévoit que l’étude des conditions de fonctionnement de référence (DBC) tient compte d’une
défaillance à postuler au titre de l’aggravant. Ainsi, pour chaque condition DBC étudiée, l’étude considère la
défaillance la plus pénalisante au regard des exigences de sûreté à respecter. Cette défaillance est indépendante
de l’événement initiateur postulé et, en ce qui concerne les défaillances actives1, elle est considérée intervenir
à l’instant où le système est sollicité pour la première fois dans l’étude DBC. Cela implique que, si un
équipement est supposé fonctionner correctement à sa première sollicitation, alors il le sera tout au long du
transitoire, même en cas de sollicitations successives.

II_G2. Le RPS ne devra pas exclure la défaillance d’un équipement au-delà de sa première
sollicitation sans justifications appropriées tenant compte des dispositions de conception et
d’exploitation mises en œuvre, du retour d’expérience d’exploitation et d’une analyse des
conséquences de la défaillance. Cette dernière pourra être réalisée avec des règles, méthodes et
hypothèses adaptées par rapport à celles retenues pour l’étude des conditions de fonctionnement de
référence, afin notamment de démontrer l’absence d’effet falaise.

1 La défaillance unique active est caractérisée par (cf. guide de l’ASN n° 22) :
- l’erreur de position d’un équipement mécanique ou électrique ;
- la défaillance à la demande d’un équipement mécanique ou électrique, lorsqu’un mouvement mécanique est nécessaire
pour accomplir la fonction attendue ;
- la défaillance d’un composant matériel de contrôle-commande conduisant à la non-réalisation de la fonction attendue.

10 /37
Critères techniques d’acceptation
Le nombre maximal de crayons de combustible susceptibles d’entrer en crise d’ébullition pour les conditions
de fonctionnement de catégorie 3 (DBC3) n’est pas défini dans le DOS.

II_G3. Le RPS devra définir les exigences de sûreté et les critères techniques d’acceptation associés
à la tenue du combustible en conditions de fonctionnement de catégorie 3. À cet égard, l’ASN vous
rappelle que, conformément à sa position présentée au 1 de son avis en référence [4], le RPS devra
définir la valeur limite du nombre de crayons susceptibles d’entrer en crise d’ébullition en conditions
de fonctionnement de catégorie 3 et démontrer que la fusion de pastilles de combustible au point
chaud du cœur est alors évitée.

II_G4. Par ailleurs, la documentation support au RPS devra justifier que les exigences et les critères
d’acceptation retenus relatifs à la tenue du combustible répondent aux demandes formulées par
l’ASN pour le réacteur EPR de Flamanville et à celles issues de l’instruction relative aux critères de
tenue du combustible menée pour les réacteurs en fonctionnement d’EDF, formulées dans le
courrier en référence [11].

H. Etudes relatives aux conditions de fonctionnement de référence associées à l’entreposage

et à la manutention du combustible

Liste de conditions de fonctionnement de référence

Le DOS présente une liste préliminaire des incidents et des accidents pouvant affecter la sûreté de
l’entreposage et de la manutention du combustible à étudier dans le cadre des conditions de fonctionnement
de référence (DBC BK). Cette liste ne couvre pas l’ensemble des scénarios accidentels susceptibles de se
produire à la suite d’un évènement initiateur unique. Certains évènements initiateurs ont en effet été exclus
sans justification.

II_H1. Le RPS devra inclure l’ensemble des scénarios susceptibles de se produire dans le bâtiment
du combustible à la suite d’un événement initiateur unique, justifier l’exclusion des scénarios
accidentels non retenus dans cette liste préliminaire et justifier le caractère enveloppe des incidents
et accidents de référence retenus. A cet égard, vous devrez considérer :
- des ruptures non isolables de tuyauterie, d’enveloppe ou de paroi assurant l’intégrité d’un
compartiment d’une piscine dans lequel se trouve au moins un assemblage irradié ;
- des dégradations ou des pertes de refroidissement limitées à un ou à quelques assemblages
irradiés (assemblage bloqué dans une cellule de ressuage par exemple) ;
- des dysfonctionnements ou des accidents de manutention lors de la réception ou de
l’évacuation d’assemblages de combustible.

Règles d’étude

Les études DBC BK ne prennent pas en compte le cas d’une défaillance unique passive sur les équipements
de la piscine d’entreposage du combustible.

II_H2. Le RPS devra justifier l’absence de prise en compte d’une défaillance unique passive sur les
équipements de la piscine d’entreposage du combustible, en tenant notamment compte des
dispositions de conception et d’exploitation envisagées et d’une analyse du retour d’expérience. Des
justifications sont en particulier attendues concernant les dispositifs casse-siphon.

Conditions de fonctionnement avec défaillances multiples

11 /37
Vous proposez une nouvelle démarche d’identification des conditions de fonctionnement avec défaillances
multiples, conditions dites DEC-A2. Cette démarche consiste en une analyse déterministe des conséquences
des défaillances de causes communes considérées comme les plus probables. Selon vous, cette démarche
permet, sans attendre les résultats des EPS de l’installation, d’anticiper les besoins en dispositions DEC-A. La
liste des conditions DEC-A ne résulte donc plus des EPS comme c’est le cas pour le réacteur EPR de
Flamanville. La démonstration de sûreté résultante de cette démarche sera, in fine, confortée par les résultats
de l’EPS de niveau 1. Le DOS présente une liste préliminaire de situations DEC-A issue de cette démarche.
L’ASN considère que la démarche proposée respecte les recommandations des articles [Link], [Link], [Link]
et 3.6.1 du guide en référence [6]. Cette démarche permet une large identification, dès le stade du DOS, des
dispositions DEC-A.

Toutefois, cette démarche exclut les situations initiées par une condition de fonctionnement DBC4 et celles
faisant intervenir des défaillances multiples hors défaillances de causes communes.

L’ASN note votre engagement de mettre à jour la liste des situations DEC-A dans l’éventualité où des
nouvelles séquences prépondérantes seraient mises en évidence par les EPS niveau 1, notamment celles initiées
par une condition DBC4 ou provenant d’un cumul de défaillances élémentaires.

II_H3. Le RPS devra décrire votre démarche pour l’identification des situations dites DEC-A ainsi
que les règles d’étude associées à ces conditions de fonctionnement. La liste complète des situations
DEC-A issue de la démarche proposée devra également être présentée dans le RPS. En complément,
la documentation support au RPS devra détailler les résultats de chaque étape de votre démarche.

I. Prise en compte des situations d’accident grave

Le DOS présente la démarche générale retenue par EDF pour définir une liste de conditions de
fonctionnement dites DEC-B3, nécessaire pour le dimensionnement des dispositions de conception appelées
« dispositions DEC-B », qui permettent d’assurer en particulier le confinement des substances radioactives en
cas d’accident avec fusion du cœur. De plus, le DOS établit une liste préliminaire des conditions DEC-B.

Le caractère suffisant de cette approche devra être confirmé ultérieurement par les EPS.

Le DOS indique par ailleurs que les dispositions mises en place pour gérer des situations accidentelles avec
fusion de combustible doivent permettre d’atteindre un « état maîtrisé » de l’installation, caractérisé par :
- un corium stabilisé et refroidi ;
- une évacuation de la puissance résiduelle hors de l’enceinte ;
- le confinement des matières radioactives.
Ces dispositions DEC B doivent permettre de maintenir cet état « maîtrisé » sur le long terme en cohérence
avec les objectifs d’autonomie.

L’article [Link] du guide n° 22 en référence [6] établit que lors d’une condition DEC-B, le réacteur doit être
amené et maintenu durablement dans un état dans lequel :
- la sous-criticité est assurée ;
- l’évacuation de la puissance résiduelle est assurée, notamment le corium est refroidi ;
- le confinement des substances radioactives est assuré.

Contrairement aux préconisations du guide n° 22 en référence [6], le DOS ne mentionne pas de manière
explicite que la sous-criticité du corium doit être assurée dans l’état dit maîtrisé.

2 Conditions DEC-A (design extension conditions –A) : il s’agit de conditions de fonctionnement du domaine de conception étendu
pour lesquelles la fusion du combustible est prévenue.
3 Conditions DEC B (Design Extension Conditions – B) : conditions de fonctionnement du domaine de conception étendu pour

lesquelles la fusion du combustible est postulée.

12 /37
Par ailleurs, concernant les règles d’étude associées aux conditions DEC-B, le DOS indique que les
indisponibilités pour cause de maintenance préventive d’un système intervenant dans les conditions DEC-B
ne seront pas prises en compte dans l’étude.

II_I1. Le RPS devra présenter l’approche retenue pour définir la liste des conditions DEC-B. Il
inclura la liste des situations DEC-B issue de cette approche et confortée par les EPS, ainsi que les
règles d’étude associées à ces conditions. Par ailleurs, le RPS devra faire mention explicite que la
sous-criticité du corium doit être assurée dans un état maîtrisé de l’installation à la suite d’une
condition DEC-B. De plus, la documentation support au RPS devra pouvoir garantir que les règles
générales d’exploitation seront suffisamment restrictives concernant les indisponibilités liées à la
maintenance préventive des systèmes intervenant dans les conditions DEC-B.

Concernant la qualification des équipements aux conditions d’accident grave, le DOS indique que les exigences
de qualification pour les fonctions valorisées pendant les conditions de fonctionnement avec fusion du cœur,
conditions DEC-B, sont définies au cas par cas en se référant spécifiquement à la mission du matériel. Il est
également possible d’utiliser un profil de pression et de température spécifique pour la qualification de chaque
matériel.

II_I2. Le RPS devra justifier, pour le matériel situé dans l’enceinte, que l’ensemble des conditions de
pression et de température rencontrées en cas d’accident grave est couvert par les profils de
qualification en accident grave retenus à la conception, compte tenu de la durée de mission des
matériels.

II_I3. En outre, le RPS devra tenir compte des conclusions de l’instruction relative à la qualification
aux conditions d’accident grave des équipements du réacteur EPR de Flamanville.

En cas d’accident grave, les deux files du système EVU 4 sont requises pour assurer l’évacuation de la puissance
résiduelle de l’enceinte pendant les 15 premiers jours après l’entrée en accident grave5.

Afin de vous assurer de l’absence d’effet falaise en cas de défaillance d’un train EVU pendant ce délai, vous
envisagez de rehausser le profil de qualification en pression et en température par rapport à celui retenu pour
le réacteur EPR de Flamanville.

L’ASN note que certaines actions de conduite en accident grave pourraient être retardées. C’est notamment
le cas de l’ouverture d’une ligne de dépressurisation du circuit primaire principal, qui conduirait à une
augmentation significative de la température et la pression dans l’enceinte de confinement.

II_I4. Le RPS ou la documentation support au RPS devra justifier que, même dans une situation
d’ouverture d’une ligne de dépressurisation du circuit primaire principal deux heures après l’atteinte
du critère d’entrée en accident grave, les profils de qualification (P,T) des équipements en accident
grave, avec une seule file EVU disponible, restent enveloppes des conditions de pression et
température rencontrées dans l’enceinte pour cette situation.

Par ailleurs, vous considérez qu’avoir une marge entre le profil de qualification retenu pour les conditions
d’accident grave et les valeurs de pression et température mesurées dans l’enceinte de confinement en cas
d’accident grave permet de garantir une durée de mission à long terme suffisante pour les équipements
participant à la fonction de confinement. Cette durée de mission est fixée au minimum à un an. D’autre part,
vous indiquez que cette marge permettra une durée de mission suffisante pour des scénarios moins probables
ne créditant qu’une seule file EVU (compte-tenu des dispositions mises en œuvre pour fiabiliser l’EVU). Selon
vous, pour ces scenarii, une « durée suffisante » serait telle que la dégradation de l’étanchéité des équipements

4 Système EVU : système d’évacuation ultime de la puissance de l’enceinte de confinement

5 Le référentiel de sûreté applicable ne requière pas la prise en compte du critère de défaillance unique pour les conditions DEC B

13 /37
participant au confinement conduise à des conséquences radiologiques acceptables au regard des contre-
mesures qu’elles conduiraient à prendre. Selon vos calculs de conséquences radiologiques, une durée de
mission de 1 à 3 mois permettrait de respecter cet objectif.

L’ASN vous rappelle que les évaluations de conséquences radiologiques contribuent à la vérification du
caractère suffisant des dispositions prises à la conception. Cette évaluation ne doit pas servir à définir la durée
de mission des matériels.

II_I5. Le RPS ou la documentation support au RPS devra justifier les durées de mission retenues
pour les équipements participant à la fonction de confinement en situation d’accident grave.

J. Situations « pratiquement éliminées »

L’approche générale de justification de l’ « élimination pratique » d’une situation accidentelle présentée dans
le DOS repose sur des arguments déterministes et est complétée, lorsque cela est pertinent, par des analyses
probabilistes. Cette démarche n’appelle pas de remarque de l’ASN.

Vous indiquez que la justification de l’ « élimination pratique » par des arguments déterministes repose
essentiellement sur la mise en œuvre de dispositions concrètes de conception de l’installation, renforcées, le
cas échéant, par des dispositions opérationnelles. Vous vous êtes engagé à présenter dans le RPS la façon dont
sont prises en compte les erreurs humaines et les agressions dans la démonstration de l’ « élimination pratique »
de certaines situations accidentelles.

II_J1. L’ASN considère que ces éléments doivent figurer dans la section du RPS qui présente les
arguments déterministes sur lesquels reposent la justification de l’ « élimination pratique ». Vous
devrez justifier que l’efficacité de ces dispositions restera assurée tout le long de la vie de
l’installation.

II_J2. Par ailleurs, l’ASN souligne que la nature des situations pratiquement éliminées est différente
d’un cas à l’autre. Ainsi, les hypothèses et les méthodes de calculs associées aux analyses
déterministes en support à la justification d’ « élimination pratique » doivent être définies au cas par
cas.

Le DOS établit une liste des situations « pratiquement éliminées » ainsi que les dispositions mises en place
pour les prévenir. Cette liste est cohérente avec l’article 3.2.6 du guide n° 22 en référence [6].

L’une des familles de situations retenues dans cette liste est celle constituée par des défaillances internes
conduisant directement à des conséquences inacceptables, telle que la défaillance d’un composant mécanique
de l’installation. Dans ce cas particulier, la démonstration de l’élimination pratique repose sur la justification
du caractère non ruptible du composant.

II_J3. Le RPS devra apporter la justification du caractère non ruptible des composants dont la
défaillance pourrait conduire à des situations accidentelles avec des conséquences inacceptables. La
documentation support au RPS devra décrire les processus prévus pour les phases de conception, de
fabrication, d’exploitation et de suivi en service des composants non ruptibles et justifier que les
pratiques suivies sont éprouvées.

Par ailleurs, l’ASN note votre engagement de démontrer l’« élimination pratique » des accidents avec fusion
du cœur dans les états d’arrêt avec l’enceinte de confinement ouverte (TAM6 ouvert). À cette fin, vous avez
indiqué que des dispositions matérielles et opérationnelles sont envisagées, notamment l’amélioration du

6 TAM : tampon d’accès des matériels

14 /37
système de manutention du TAM, le choix du matériau du joint et la limitation du nombre d’ouvertures du
TAM.

II_J4. Le RPS devra justifier le caractère « pratiquement éliminé » des situations accidentelles de
fusion du cœur dans les états d’arrêt avec l’enceinte de confinement ouverte (TAM ouvert). Cette
démonstration devra notamment détailler les exigences de conception du TAM et de son exploitation
(nombre maximal d’ouvertures, modalités de refermeture en situation accidentelle, y compris en
situation de perte totale des alimentations électriques, délais maximaux de refermeture dans
l’ensemble des situations accidentelles étudiées dans la démonstration de sûreté). Vous justifierez
dans la documentation support au RPS la fiabilité de ces dispositions.

K. Situation de fusion du cœur par perte totale des alimentations électriques

La situation de perte totale des alimentations électriques (PTAE) n’est pas étudiée au titre de la démonstration
de sûreté du réacteur. Vous avez indiqué que, compte tenu des améliorations notables qui ont été introduites
à la conception au niveau des sources d’alimentation électriques internes (utilisation d’une source multi-groupe
pour le groupe électrogène de secours (GES) dédié aux situations dites DEC-A et ajout d’un GES dédié aux
situations dites DEC- B), la PTAE sera étudiée uniquement au titre de la robustesse.

Ainsi, vous prévoyez d’étudier les conséquences d’un scénario de PTAE d’une durée postulée de 24h, que
vous considérez représentative des délais de mise en place des mesures de protection de la population et
proche du délai caractérisant l’atteinte des hypothèses de dimensionnement de l’enceinte. Vous vous êtes par
ailleurs engagé à estimer le délai d’atteinte de la pression de dimensionnement de l’enceinte (5,5 bars) en cas
de PTAE.

L’ASN note que pour le réacteur EPR de Flamanville une étude équivalente a été réalisée pour une durée de
36h, pour laquelle survient l’effet falaise correspondant à l’atteinte de la pression de vérification de l’enceinte7.

II_K1. L’étude devra justifier que les dispositions mobiles peuvent être mises en œuvre dans des
délais permettant d’éviter l’atteinte des hypothèses de dimensionnement de l’enceinte de
confinement.

L. Prise en compte des agressions internes

II_L1. L’ASN vous demande, au plus tard lors du dépôt de la demande d’autorisation de création, de
justifier que le traitement des agressions internes est d’une part conforme aux recommandations du
guide n° 22 de l’ASN en référence [6] et d’autre part permet de répondre aux demandes formulées
par l’ASN dans le cadre des quatrièmes réexamens périodiques des réacteurs de 900 MWe et de
1300 MWe (cf. références [12] et [13] respectivement).

Le guide n° 22 en référence [6], à son article [Link].4, dispose que « une agression interne de référence ne devrait pas
entrainer d’accident ».

Le DOS indique que les principes de conception du réacteur sont « définis de façon à satisfaire les objectifs de sûreté »
et « sont tels qu’une agression interne ne doit pas fragiliser les niveaux de défense en profondeur. Ainsi, […] il convient d’éviter
qu’une agression interne induise un événement de type DBC 3 ou DBC 4, sauf quand l’agression est en elle-même liée au DBC3
ou DBC4 ».

Pour ce qui concerne les liens entre agressions internes et événements de type DBC et les SCC valorisés pour
gérer les DBC induits, vous avez précisé que « la conception vise à éviter qu’une agression interne n’induise un événement

7 La pression de vérification de l’enceinte est supérieure à la pression de dimensionnement de l’enceinte.

15 /37
DBC3 ou 4 mais qu’une agression interne peut générer un événement de type DBC2 lié à la défaillance d’un équipement non
classé ». Vous estimez qu’il n’est pas possible d’éviter les évènements de type DBC2 induits étant donné le
nombre important d’événements initiateurs uniques pouvant induire des DBC2, notamment sur la partie non
classée de l’installation.

Concernant la gestion des événements de type DBC induits par des agressions internes qui ne pourraient pas
être évités, le DOS indique que les SSC valorisés dans la démonstration de sûreté pour en gérer les
conséquences doivent rester disponibles malgré les conséquences de l’agression et en respectant les règles
d’étude des agressions internes. Vous avez par ailleurs indiqué que les matériels classés S1 ou S2 seront
valorisés en priorité. Toutefois, les matériels classés S3 pourront être valorisés au cas par cas si nécessaire.

L’ASN note votre engagement de justifier, à l’échéance du dépôt d’une demande d’autorisation de
création, que votre démarche permet de limiter le nombre d’événements DBC (2 à 4) induits par une
agression interne.

II_L2. De plus, le RPS détaillera les justifications relatives aux éventuelles situations DBC3 ou DBC4
induites par des agressions internes qui n’ont pas pu être évitées au moyen de dispositions de
conception.

II_L3. Enfin, le RPS devra préciser que les événements DBC induits par des agressions internes
n’ayant pu être évités par des dispositions de conception seront gérés en valorisant en priorité des
dispositions classés de sûreté S1 ou S2 pour les fonctions requises pour atteindre et maintenir l’état
sûr jusqu’à 24 heures après le début de l’événement, l’utilisation de dispositions classés de sûreté S3
devant faire figure d’exception pour assurer ces fonctions.

Par ailleurs le DOS indique comme principe de conception qu’il « convient d’éviter qu’une agression interne induise
une situation de type DEC-A ou DEC-B ». À la suite de l’instruction technique de ce dossier, vous vous êtes
engagé à préciser dans le DOS mis à jour que l’objectif de conception est qu’une agression interne n’induise
pas de situation DEC-A ou DEC-B. L’ASN considère que cet objectif doit également figurer dans le RPS.

II_L4. Le RPS devra mentionner que l’objectif de conception retenu est tel qu’une agression interne
n’induit pas une situation accidentelle DEC-A ou DEC-B.

Contrairement au réacteur EPR de Flamanville, le DOS ne fait pas mention du principe de séparation physique
ou géographique pour séparer les parties redondantes des systèmes accomplissant une fonction de sûreté, de
façon à éviter les modes communs des fonctions de catégorie 1 ou 2 8 en cas d’agression interne. Toutefois,
lors de l’instruction, vous avez indiqué votre volonté de limiter les situations de modes communs en cas
d’agression interne par des dispositions prises à la conception. L’ASN considère que l’objectif de conception
doit être d’éviter les situations de modes communs en cas d’agression interne.

II_L5. Le RPS devra mentionner que l’objectif de conception retenu est d’éviter les situations de
modes communs en cas d’agression interne. Les situations de modes communs en cas d’agression
interne qu’il ne serait pas possible d’éviter par la conception doivent rester exceptionnelles et devront
être justifiées.

EDF a indiqué que, en cas d’agression interne induisant un événement DBC, l’exigence de sûreté qui a été
fixée est qu’un nombre suffisant de redondances reste disponible pour limiter les conséquences de cet
évènement. Le principe de conception retenu est que les redondances inter-trains des fonctions de catégorie

8 Les fonctions de sûreté, incluant les fonctions support, sont catégorisées selon leur importance en 3 catégories. La catégorie la
plus élevée est associée à un niveau d’exigences maximal. La catégorisation des fonctions est établie en cohérence avec les
conséquences de leur défaillance pour la démonstration de sûreté nucléaire, leur fréquence estimée de sollicitation et le temps
disponible pour les mettre en œuvre ainsi que de la durée durant laquelle elles doivent être assurées, notamment pour l’atteinte d’un
état.

16 /37
1 ou 2 sont séparées les unes des autres vis-à-vis des effets des agressions plausibles, ceci indépendamment de
la génération d’un événement DBC.

II_L6. L’ASN note votre engagement de présenter dans le RPS :

- l’exigence de sûreté ainsi que le principe de conception retenu pour les éventuels
évènements de type DBC induits par une agression interne ;
- les cas d’agression interne induisant un évènement DBC et qui conduisent à la perte d’un
nombre « trop élevé » de redondances d’un système assurant une fonction de catégorie 1
ou 2 requise pour gérer l’évènement induit. Le RPS justifiera que ces cas n’ont pas pu être
évités par conception et indiquera les dispositions de conception mises en place pour
gérer ces situations.

Pour ce qui concerne les règles d’étude relatives aux agressions internes, le DOS prévoit de ne pas appliquer
le critère de défaillance unique aux dispositifs passifs requis pour limiter les conséquences d’une agression.

Le guide n° 22 en référence [6] indique, à son article [Link].1, que les conditions qui permettraient, le cas
échéant, de ne pas retenir comme aggravant la défaillance de certains EIP9, doivent être justifiées.

Par ailleurs, dans le cadre de l’instruction des quatrièmes réexamens périodiques des réacteurs de 900 MWe,
l’ASN vous a demandé, par courrier en référence [12], « de retenir […] pour chacune des agressions, au titre de
l’aggravant, la défaillance du matériel la plus défavorable, quelle que soit la nature de ce matériel. Si une telle défaillance
potentiellement la plus défavorable est exclue de l’étude, l’ASN vous demande de démontrer le haut niveau de fiabilité de
l’équipement concerné, compte tenu des exigences de conception et de suivi en exploitation qui lui sont appliquées […] dans les
conditions de l’agression étudiée ».

II_L7. Le RPS devra apporter les justifications permettant de ne pas retenir, dans les études
d’agressions internes, la défaillance unique d’un composant passif en tant qu’aggravant. Des
exigences de conception, de fabrication et de suivi en service suffisantes devront être attribuées aux
équipements passifs auxquels la défaillance unique ne sera pas appliquée, de façon à s’assurer de
leur fiabilité élevée et du maintien dans le temps de cette fiabilité. Ces exigences devront être
présentées dans le RPS ou dans les documents supports.

Le DOS indique que « lorsqu’un système est à l’arrêt pour maintenance, il est considéré comme indisponible dans les études
d’agressions internes sauf si la nature de la maintenance préventive est telle que le système peut être rendu opérationnel à court
terme […] ou que sa durée de maintenance est courte. Cette règle n’est cependant pas appliquée quand l’agression résulte d’une
condition de fonctionnement DEC ».

II_L8. Le RPS devra présenter les cas de maintenance préventive pour lesquels un système requis
dans la démonstration de sûreté serait considéré comme disponible pour les études des agressions
internes en dépit de cette maintenance.

Le DOS apporte quelques informations sur la conception prévue pour la maîtrise du risque d’incendie.
Néanmoins, ces informations ne permettent pas de se positionner sur le caractère suffisant des règles de
conception et de construction retenues pour la prévention et la protection contre l’incendie.

Par ailleurs, EDF s’est engagée à présenter, dans le RPS, la déclinaison du principe de défense en profondeur
pour la maîtrise des risques liés à l’agression incendie, en termes de classement de sûreté et d’exigences relatives
aux différentes dispositions correspondantes.

9 EIP : élément important pour la protection des intérêts

17 /37
II_L9. Le RPS devra expliciter les principes de conception retenus pour prévenir et maîtriser les
différents phénomènes liés à l’incendie d’origine interne (dysfonctionnements liés aux suies, effets
de pression…).

En outre, le DOS ne présente pas les dispositions de conception associées à la maîtrise du risque d’explosion.

II_L10. Le RPS devra expliciter les principes de conception retenus pour prévenir et maîtriser
l’agression d’explosion d’origine interne.

Par ailleurs, contrairement au réacteur EPR de Flamanville, les ruptures de tuyauteries véhiculant du gaz sous
une pression inférieure à 20 bars ne sont pas considérées comme susceptibles d’agresser des EIP.

II_L11. Le RPS devra inclure les éléments de justification de cette démarche.

Pour ce qui concerne le risque lié aux projectiles internes, EDF ne prévoit pas d’étudier les défaillances
susceptibles d’engendrer un projectile interne pour les composants classés de sûreté et de niveau de qualité
Q1 à Q3.

L’ASN considère que l’attribution d’un niveau de qualité Qi à un équipement n’est pas suffisante pour exclure
le risque d’initiation de missiles par cet équipement. Ces initiateurs doivent être étudiés avec les mêmes règles
d’étude que les initiateurs de missiles déjà considérés dans la démonstration de sûreté, afin de définir les
dispositions de protection ainsi que les exigences associées.

Vous avez proposé, lors de l’instruction, d’étudier la défaillance d’un nombre limité et représentatif de ces
composants. L’ASN n’est pas opposée à cette démarche et précise, d’une part que la représentativité de
l’échantillon étudié doit être justifiée, d’autre part que cet échantillon doit couvrir l’ensemble des bâtiments
contenant des cibles de sûreté.

II_L12. Le RPS devra présenter les études des conséquences des projectiles internes générés par les
composants à haute énergie indépendamment de leur niveau de qualité. Dans le cas où ces études
seraient limitées à un échantillon représentatif de missiles et de locaux, le caractère suffisant de cet
échantillon devra être justifié.

M. Prise en compte des agressions externes de référence

II_M1. De manière générale, l’ASN vous demande, au plus tard lors du dépôt de la demande
d’autorisation de création, de justifier que le traitement des agressions externes est d’une part
conforme aux recommandations du guide n° 22 de l’ASN en référence [6] et d’autre part cohérent
avec les demandes formulées par l’ASN dans le cadre des quatrièmes réexamens périodiques des
réacteurs de 900 MWe et 1300 MWe (cf. références [12] et [13] respectivement).

Le DOS indique que, pour déterminer les niveaux d’aléa à retenir pour les agressions naturelles externes de
référence (DBH)10, vous retenez comme fréquence cible de dépassement la valeur repère de 10-4/an,
conformément aux niveaux de référence WENRA en référence [14]. Dans le cas où une telle fréquence ne
pourrait pas être atteinte ou lorsque les incertitudes sur le niveau d’agression ainsi évalué sont trop élevées,
vous prévoyez de retenir un niveau d’agression « équivalent » par l’ajout d’une marge suffisante au niveau
d’agression estimé pour une fréquence plus élevée.

Le site d’implantation n’étant pas défini au stade du DOS, les valeurs associées aux niveaux DBH n’y sont pas
non plus définies. Néanmoins, lors de l’instruction, EDF a présenté des éléments relatifs à la méthodologie

10 DBH : Design Basis external Hazards

18 /37
de détermination des niveaux DBH pour quelques agressions externes naturelles de référence avec les marges
retenues, sans toutefois les justifier.

II_M2. Le RPS devra, pour chaque agression externe de référence, indiquer et justifier le niveau
d’aléa associé avec les marges retenues.

Par ailleurs, vous vous êtes engagé à prendre en compte, lors de la conception du réacteur, les conclusions
relatives aux principes de prise en compte de la défaillance unique dans les études des agressions externes,
instruits dans le cadre du réexamen RP4-900.

II_M3. Le RPS devra détailler les modalités de prise en compte de la défaillance unique dans les
études d’agression externes.

Pour ce qui concerne la prise en compte des actions de l’opérateur, les délais proposés dans le DOS sont
semblables à ceux retenus dans les études d’agressions externes de l’EPR de Flamanville.

II_M4. Le RPS devra justifier la faisabilité, en situation d’agression externe, des actions humaines
valorisées dans les études en tenant en compte de l’accessibilité aux locaux.

Le DOS indique que « les études d’agressions externes de référence prennent en compte le cumul avec un MDTE lorsque cette
hypothèse est plus pénalisante que l’inverse, et s’il existe un lien de causalité avéré entre l’agression et le MDTE ».

II_M5. Le RPS devra détailler les caractéristiques du MDTE retenu dans les études (fonctionnel ou
matériel, durée du MDTE) pour les différentes agressions externes considérées.

Le DOS indique que « lorsqu’un système est à l’arrêt pour maintenance, il est considéré comme indisponible dans les études
d’agressions externes de référence sauf si la nature de la maintenance préventive est telle que le système peut être rendu opérationnel
à court terme […] ou que sa durée de maintenance est courte ».

II_M6. Les études d’agression qui devront être présentées en appui au RPS devront inclure les
justifications associées à la disponibilité des équipements valorisés.

L’article [Link].1 du guide n° 22 en référence [9] dispose que « les règles d’étude des agressions externes de référence
doivent en particulier définir les modalités de prise en compte […] des états sûrs visés pour l’installation ».

Lors de l’instruction, vous avez précisé que dans le cas des études d’agression, l’état sûr visé ne correspond
pas nécessairement à l’état sûr recherché pour les conditions de fonctionnement de référence.

II_M7. Le RPS devra décrire les états sûrs visés dans les études d’agression externe. Il devra apporter
la justification de la pertinence de ces états.

Pour ce qui concerne la chute d’aéronef, vous prévoyez de retenir, au titre des agressions du domaine de
conception de référence, la chute accidentelle d’un aéronef de l’aviation générale.

Comme indiqué au 5.2.1 de l’annexe I de son avis en référence [4], l’ASN considère que la chute accidentelle
d’un aéronef militaire doit être prise en compte à la conception, au titre des agressions du domaine de
conception de référence.

Pour ce qui est de la chute accidentelle d’un aéronef de l’aviation commerciale, l’ASN vous a demandé dans
son avis en référence [4] de vérifier, au titre de la sûreté nucléaire, que les mesures nécessaires de protection
de la population sont limitées en termes d’étendue et de durée.

19 /37
II_M8. Le RPS devra inclure les éléments de réponse à l’avis de l’ASN concernant la chute
accidentelle d’un avion militaire et la chute accidentelle d’un avion commercial.

N. Prise en compte des agressions externes extrêmes

Compte tenu du fait que le site d’implantation du réacteur n’était pas défini au stade du DOS, des niveaux
d’agressions externes extrêmes découplés ont été retenus.

II_N1. Le RPS devra justifier les valeurs des niveaux d’agressions externes extrêmes in fine retenues
et les fréquences associées.

Le DOS liste les agressions externes extrêmes naturelles prises en compte à la conception du réacteur et
indique que le vent moyen à 10 minutes est couvert par la tornade et les projectiles associés.

II_N2. Le RPS accompagnant une éventuelle demande d’autorisation de création devra justifier le
niveau de tornade retenu in fine.

Le DOS indique que le scénario enveloppe retenu pour définir les SSC à protéger pour prévenir la fusion du
cœur ou la fusion de combustible entreposé dans la piscine en cas d’agression externe extrême est le cumul
d’un MDTE et d’une perte totale de la source froide principale. Lors de l’instruction vous avez précisé que,
afin d’être en cohérence avec les standards internationaux définis après l’accident de Fukushima11, vous
prévoyez de valoriser uniquement les SSC requis en cas de manque de tension généralisé (MDTG). Le scénario
enveloppe serait donc le cumul d’un MDTG et d’une perte totale de la source froide principale. Or, les
équipements nécessaires pour gérer un MDTE et un MDTG ne sont pas les mêmes.

II_N3. Le RPS accompagnant une demande d’autorisation de création devra clarifier la situation
accidentelle à considérer en cas d’une agression externe extrême (MDTE ou MDTG).

EDF a fourni une liste préliminaire des équipements à protéger en cas d’agression externe extrême, afin de
prévenir la fusion du cœur ou de combustible entreposé dans la piscine d’entreposage du combustible ou de
limiter les conséquences de ces accidents.

II_N4. Le RPS devra inclure la liste exhaustive des SSC à protéger contre les situations d’agression
externes extrêmes ainsi que sa justification.

Le DOS indique que les SSC requis pour prévenir et gérer les conséquences des situations accidentelles en cas
d’agression externe extrême et les SSC participant à leur « élimination pratique » seront protégés. Une liste
préliminaire des dispositions qui seront effectivement protégées est présentée dans le DOS.

II_N5. Le RPS devra inclure la liste exhaustive des dispositions concourant à « l’élimination
pratique » des situations qui seront protégés vis-à-vis des agressions externes extrêmes. La
justification du caractère exhaustif de cette liste doit être apportée.

Vis-à-vis des températures extrêmes (canicule et grand froids), vous envisagez le fonctionnement de certains
équipements à une température exceptionnelle pour une durée limitée.

II_N6. L’ASN attire votre attention sur le fait que, dans le cas où le fonctionnement d’équipements
à des températures exceptionnelles serait valorisé dans la démonstration de sûreté, les dossiers de
qualification de ces équipements devront prendre en compte ces températures dans les hypothèses
de températures limites d’exploitation de ces équipements.

11 Les groupes électrogènes principaux n’étant pas protégés pour une situation d’agression externe extrême, il convient de ne pas
les valoriser.

20 /37
Par ailleurs, les études thermiques qui seront présentées comme support au RPS devront démontrer
le bon dimensionnement des systèmes dont le fonctionnement est requis lors des situations de
températures extrêmes, notamment les systèmes de conditionnement thermique.

Pour ce qui concerne le dimensionnement des structures, systèmes et composants (SSC) au séisme extrême,
vous proposez l’utilisation de la méthode dénommée Design Extension Seismic Capacity (DESC). Cette nouvelle
méthode, à caractère probabiliste, consiste notamment à dimensionner les SSC aux chargements du séisme du
domaine de conception de référence (DBE) et à justifier ensuite la tenue des SSC aux chargements du séisme
du domaine de conception étendu (DEE, séisme extrême).

Comme indiqué au 5.2.2 de l’annexe I de son avis en référence [4], l’ASN n’est pas favorable à l’utilisation de
la méthode DESC pour la conception d’un nouveau modèle de réacteur nucléaire.

II_N7. Le RPS devra décrire la méthode utilisée pour le dimensionnement des SSC au séisme
extrême. Cette méthode devra être fondée sur une analyse déterministe du comportement des SSC,
analyse qui doit en outre présenter des garanties de conservatisme quant aux paramètres qu’elle
permet d’évaluer. Le RPS devra également définir et justifier le périmètre des SSC requis en cas de
séisme extrême.

O. Prise en compte du cumul des situations de fonctionnement et des agressions

Au cours de l’instruction vous avez présenté la liste des agressions induites par une agression externe de
référence. Le caractère suffisant de cette liste devra être vérifié une fois le site de l’installation choisi.

II_O1. Le RPS devra inclure la liste des agressions induites par une agression externe de référence.
La justification du caractère suffisant de cette liste devra être apportée.

Pour ce qui est des événements de type DBC induits par une agression externe de référence, le DOS indique
que, dans les cas où la canicule ou le grand froid induit un événement de type DBC, les températures externes
associées au niveau DBH sont prises en compte pour le fonctionnement des systèmes valorisés dans l’étude.
L’ASN considère que des dispositions doivent être prises à la conception pour minimiser le nombre de
situations où une agression pourrait induire un événement de type DBC.

II_O2. Le RPS devra identifier et justifier les cas pour lesquels un événement de type DBC induit
par une situation de canicule ou de grand froid ne peut pas être évité. Le cas échéant, le RPS devra
notamment indiquer que les températures externes associées au niveau DBH seront prises en
compte pour le fonctionnement des systèmes valorisés dans l’étude.

Vous prévoyez de retenir le cumul indépendant d’une agression externe avec une condition de fonctionnement
DBC si la durée d’au moins un des évènements cumulés est significative. Lors de l’instruction, vous avez
donné quelques informations relatives aux cumuls envisagés à ce stade.

II_O3. L’ASN attire votre attention sur la nécessité d’établir au plus tôt la liste exhaustive des cumuls
à retenir afin de définir à la conception les dispositions éventuellement nécessaires à l’égard de ces
cumuls.
L’ASN note votre engagement de présenter et de justifier, dans le RPS, la liste exhaustive des cumuls
effectivement retenus à la conception.

21 /37
 P. Conséquences radiologiques des agressions

Le DOS mentionne les objectifs de sûreté associés aux conséquences radiologiques des agressions. Pour la
plupart, ces objectifs correspondent aux valeurs repères de dose pour la mise en œuvre des mesures de
protection de la population en situation d’urgence radiologique.

L’ASN constate que les conséquences radiologiques des agressions calculées pour le réacteur EPR de
Flamanville sont inférieures à ces valeurs repères de doses. La conception du réacteur EPR2 étant proche de
celle du réacteur EPR de Flamanville, l’ASN considère que les objectifs de sûreté associés aux conséquences
radiologiques des agressions ne sont pas suffisamment ambitieux.

Par ailleurs, par la prescription INB 167-2 de la décision en référence [15] applicable au réacteur EPR de
Flamanville, l’ASN a demandé à EDF « de justifier dans le rapport de sûreté que les conséquences radiologiques des situations
résultant des risques d’origines interne et externe sont au plus équivalentes à celles évaluées pour les conditions de fonctionnement
correspondant à des fréquences d’occurrence équivalentes ».

II_P1. Le RPS devra définir, par domaine de fonctionnement, des objectifs de sûreté associés aux
conséquences radiologiques des agressions plus ambitieux et comparables aux résultats obtenus
pour le réacteur EPR de Flamanville.

Enfin, au cours de l’instruction du DOS, vous avez indiqué que les études de conséquences radiologiques
associées à une condition de fonctionnement DBC, DEC-A ou DEC-B seront réalisées sur la base de la
méthodologie et avec les mêmes codes de calcul que ceux utilisés pour les réacteurs en fonctionnement.
L’ASN prendra position sur l’acceptabilité de cette méthode dans le cadre du quatrième réexamen périodique
des réacteurs en fonctionnement des 1300 MWe (RP4-1300).

II_P2. Le RPS devra décrire la méthode utilisée pour évaluer les conséquences radiologiques et
présenter les éventuelles évolutions par rapport à celle utilisée pour les réacteurs en fonctionnement
en tenant compte, le cas échéant, de la position à venir de l’ASN sur cette méthode.

Q. Effets falaise

L’article 4.4.6 de la décision en référence [5] dispose que la démonstration de sûreté doit justifier la présence
de marges suffisantes pour éviter les effets falaise.

Les effets falaise12 ne sont pas traités dans le DOS. À cet égard, vous avez précisé que la présence de marges
suffisantes pour éviter les effets falaise est assurée au travers de la démarche de conception et de la
démonstration de sûreté associée. Vous considérez que les hypothèses et règles associées aux études menées
au sein de chaque niveau de la défense en profondeur permettent de garantir la robustesse de l’installation.

II_Q1. Le RPS devra justifier la présence de marges suffisantes pour éviter les effets falaise. À cet
égard, une attention particulière devra être portée aux conditions de fonctionnement du domaine de
conception étendu, leur étude ne présentant pas le même niveau de conservatisme et de robustesse
(pas d’aggravant pris en compte dans les études DEC-A notamment) que l’étude des conditions de
fonctionnement de référence.

R. Démantèlement

La prise en compte du démantèlement à la conception n’est pas abordée dans le DOS. Vous avez indiqué que
cette thématique ne faisait pas partie des sujets sur lesquels vous souhaitiez un avis de l’ASN. Néanmoins,

12Effet falaise : altération brutale du comportement de l’installation que suffit à provoquer une légère modification du scénario
envisagé pour un accident dont les conséquences sont alors fortement aggravées.

22 /37
vous avez précisé que le retour d’expérience des principales opérations de déconstruction réalisées à ce jour
(en France et à l’étranger) et des recommandations issues des différents organismes internationaux, ont permis
d’identifier, pour la phase de conception, des principes destinés à faciliter, à terme, la déconstruction.

II_R1. L’ASN vous rappelle que, conformément à l’article 3.1.6 de la décision en référence [5], le RPS
devra décrire les dispositions retenues à la conception pour prendre en compte l’arrêt définitif et le
démantèlement de l’INB. L’ASN portera une attention particulière aux dispositions retenues,
notamment vis-à-vis de leur cohérence avec les recommandations du guide n° 22 en référence [6].

III. Conception de la chaudière

A. Données d’entrée de la conception des équipements sous pression nucléaires

En application de l’article 8 de l’arrêté ESPN en référence [9], l’exploitant qui commande un équipement sous
pression nucléaire à un fabricant établit, en cohérence avec la démonstration de sûreté, et lui transmet les
données d’entrée de la conception de cet équipement, qui doivent comprendre, outre le retour d’expérience
des dégradations rencontrées en exploitation sur ce type d’équipement :
- les exigences telles qu’issues de la démonstration de sûreté, qui comprennent par exemple celles relatives
aux équipements non ruptibles et aux équipements pour lesquels il a retenu d’appliquer une démarche
d’exclusion de rupture ;
- la description des situations dans lesquelles peut se trouver l’équipement et les charges constitutives de
ces situations ;
- les données utiles liées à l’environnement de l’équipement et à son exploitation prévue ;
- les données liées au caractère radioactif et aux caractéristiques chimiques du fluide que contiendra
l’équipement.

III_A1. La documentation associée au RPS devra décrire les méthodes appliquées pour établir ces
données d’entrée et justifier qu’elles sont appropriées pour assurer la cohérence avec la
démonstration de sûreté.

B. Exploitation prévue des équipements sous pression nucléaires

Lors de l’exploitation d’équipements sous pression nucléaires, l’exploitant doit tenir compte de leurs notices
d’instructions établies par le fabricant. L’ASN vérifiera, avant la mise en service, que cette prise en compte est
effective, notamment en ce qui concerne :
- les spécifications techniques d’exploitation et les spécifications chimiques et radiochimiques ;
- les programmes de maintenance des équipements non ruptibles ou en exclusion de rupture.

III_B1. La documentation support au RPS devra décrire les méthodes qui seront suivies pour la prise
en compte des notices d’instructions établies par le fabricant d’un équipement sous pression
nucléaire dans la documentation d’exploitation.

III_B2. Les programmes de maintenance des équipements non ruptibles ou en exclusion de rupture
devront être transmis au plus tôt, et en tout état de cause dans des délais compatibles avec
l’instruction de la démarche appliquée à ces équipements.

C. Études des surpressions du circuit primaire principal et des circuits secondaires principaux

Les études des surpressions du circuit primaire principal et des circuits secondaires principaux visent à vérifier
que les dispositifs de protection contre le dépassement des limites admissibles et les accessoires de sécurité
qu’ils mettent en œuvre permettent de respecter les critères de protection fixés au c du II de l’article 4 de

23 /37
l’arrêté du 10 novembre 1999 en référence [10] afin de garantir l’intégrité de ces circuits en toutes situations
de surpression.

III_C1. Les situations qui sont susceptibles de conduire à un dépassement de ces critères de
protection devront être identifiées dès la phase de conception initiale de ces circuits et conduire, si
cela est nécessaire, à l’augmentation de la pression maximale de service. Les premières études des
surpressions doivent ainsi être réalisées en amont de la rédaction du cahier des charges de ces
dispositifs de protection contre le dépassement des limites admissibles et accessoires de sécurité. Le
RPS devra détailler ces éléments et justifier le caractère suffisant de ces dispositions.

D. Conception de certains composants du circuit primaire principal

Soupapes du pressuriseur
Le DOS ne donne pas d’information concernant la conception des soupapes de sûreté du pressuriseur. Lors
de l’instruction, vous avez indiqué que la technologie de ces soupapes n’était pas encore définie.

À cet égard, l’ASN vous rappelle que la technologie qui sera retenue doit être éprouvée, doit respecter le critère
de défaillance unique et permettre la réalisation des opérations de maintenance et des essais périodiques
permettant de garantir la fiabilité et la performance en exploitation de ces soupapes.

III_D1. L’ASN note votre engagement de présenter dans le RPS la technologie retenue pour les
soupapes du pressuriseur.

Groupes motopompes primaires

EDF prévoit l’utilisation des joints hydrodynamiques pour assurer l’étanchéité de la ligne de l’arbre de ces
pompes. Sur le principe, ce choix constitue une amélioration notable de la sûreté. En effet, grâce à ce type de
joints, l’étanchéité des pompes primaires pourrait être assurée dans les situations de perte totale de la source
froide ou de manque de tension généralisé.

III_D2. Le RPS devra démontrer la fonctionnalité des joints hydrodynamiques des groupes
motopompes primaires pour l’ensemble des conditions de fonctionnement dans lesquelles ces joints
sont sollicités. Cette démonstration devra s’appuyer sur des essais de qualification représentatifs.

Organes de dépressurisation du circuit primaire

Conformément au 1.2 de l’annexe I de son avis en référence [4], l’ASN considère que la conception des vannes
de dépressurisation du circuit primaire doit permettre l’indépendance entre le troisième et le quatrième niveau
de la défense en profondeur. Cette conception doit aussi garantir que l’opérateur dispose d’un délai suffisant
pour mettre en œuvre la conduite dite « en gavé ouvert13 ». Par ailleurs, la capacité des organes de
dépressurisation du circuit primaire doit permettre d’assurer l’élimination pratique des séquences de fusion du
cœur à haute pression.

III_D3. Le RPS devra justifier que la conception retenue pour les organes de dépressurisation du
circuit primaire permet une indépendance suffisante entre les troisième et quatrième niveaux de la
défense en profondeur et que le délai dont l’opérateur dispose est suffisant pour mettre en œuvre la
conduite « gavé ouvert » d’un manière fiable. Il devra également démontrer que la capacité des
organes de dépressurisation du primaire permet d’assurer l’élimination pratique des séquences de
fusion du cœur à haute pression.

13 La conduite dite en « gavé ouvert » permet l’évacuation de la puissance résiduelle par ouverture des organes de dépressurisation
et l’injection d’eau froide dans le cœur du réacteur via le système d’injection de sécurité RIS RA.

24 /37
 E. Génie civil et enceinte de confinement

L’enceinte de confinement du projet de réacteur est une enceinte simple en béton, encastrée dans un radier
en béton armé à l’aide d’un gousset. L’enceinte est dotée d’une peau métallique d’étanchéité (liner).

Vous retenez un certain nombre de dispositions visant à détecter, au stade de la construction, des défauts de
soudage susceptibles d’affecter la fonction d’étanchéité du liner. Ainsi, vous avez précisé que, lors de la
réalisation des soudures du liner, un contrôle volumique de l’ensemble de ces soudures sera réalisé grâce à la
mise en œuvre d’un dispositif de contrôle par ultrasons. Dans les cas ponctuels d’impossibilité de mise en
œuvre du procédé ultrasonore, le contrôle sera effectué par des contrôles radiographiques.

L’ASN considère comme satisfaisant la réalisation d’un contrôle volumique de l’ensemble des soudures du
liner au cours de sa construction. Pour ce qui est du procédé de contrôle, l’ASN considère que la méthode
ultrasonore proposée est acceptable sous réserve que ses performances soient justifiées.

III_E1. L’ASN vous demande de justifier les performances de la solution de contrôle volumique
ultrasonore des soudures. Les performances de cette technique de contrôle devront être équivalentes
à celles des contrôles radiographiques.

F. Architecture des principaux systèmes participant à la réalisation des fonctions de sûreté

À différence du réacteur EPR de Flamanville, les systèmes de sauvegarde du projet de réacteur requis pour la
gestion des conditions de fonctionnement de référence DBC 2-4, et par cohérence leurs systèmes supports,
sont généralement organisés en trois trains de sûreté. L’acceptabilité d’une l’architecture à trois trains des
principaux systèmes de sûreté est intrinsèquement liée à l’absence d’indisponibilité programmée pour
maintenance lorsque ces systèmes sont requis.

III_F1. L’ASN note votre engagement de présenter dans le RPS les cas de maintenance préventive
pour lesquels un système requis dans les études des conditions de fonctionnement de référence serait
considéré comme disponible en dépit de cette maintenance. Les conditions de réalisation de la
maintenance préventive seront également indiquées ainsi que l’impact éventuel de cette
maintenance sur l’architecture des systèmes.

Le DOS n’établit pas de distinction claire entre le critère de défaillance unique devant être pris en compte
pour la conception des systèmes et l’aggravant devant être pris en compte lors de la réalisation des études de
sûreté. Les définitions usuelles de ces termes sont données dans le guide n° 22 [6].

III_F2. Le RPS devra distinguer l’application du critère de défaillance unique et de l’aggravant.

Système ASG

Le système d’alimentation de secours des générateurs de vapeur (ASG) est un système à trois trains qui assure
en situation incidentelle ou accidentelle l’alimentation de secours des générateurs de vapeur (GV) et contribue
à l’évacuation de la puissance du réacteur.

Outre son rôle en situation incidentelle ou accidentelle, vous prévoyez l’utilisation du système ASG en
fonctionnement normal, lors des phases de démarrage et d’arrêt du réacteur (autour de 2 à 3 % de la puissance
nominale). Ceci vous a conduit à prendre en compte des défaillances pouvant impacter ce système dans la liste
des initiateurs de type DBC 2-4. Vous prévoyez notamment l’étude d’une petite brèche sur une tuyauterie
connectée à l’ASG, alors que l’ASG est en fonctionnement (états A, B).

25 /37
III_F3. Le RPS devra justifier les scénarios de brèches sur le circuit ASG retenus dans la liste des
initiateurs des situations de type DBC 2-4.

De plus, l’ASN note votre engagement de compléter dans le RPS l’étude du scénario de rupture de tuyauterie
d’eau alimentaire (RTE), scénario qui dimensionne la capacité des bâches ASG, en recherchant la défaillance
unique la plus pénalisante.

III_F4. L’ASN considère que les études probabilistes de sûreté devront consolider le bien-fondé de
l’utilisation du système ASG en fonctionnement normal du réacteur et identifier les éventuels requis
de diversification qui pourraient s’avérer nécessaires. Ces éléments devront figurer dans le RPS.

Système VDA

Le système de décharge à l’atmosphère (VDA) est un système à quatre trains de sûreté qui assure, en situation
incidentelle ou accidentelle :
- l’évacuation de la puissance résiduelle du réacteur, en déchargeant à l’atmosphère la vapeur
produite dans les générateurs de vapeur ;
- la dépressurisation et le refroidissement du circuit primaire principal (CPP) jusqu’à l’atteinte des
conditions d’injection de sécurité (IS) ou de connexion du circuit de refroidissement à l’arrêt (RIS
RA en mode RA) ;
- l’écrêtement de la pression secondaire et la protection contre les surpressions ;
- le confinement des substances radioactives par l’isolement des lignes de vapeur, notamment dans
des situations de rupture de tube de générateur de vapeur (RTGV).

Les systèmes supports au système VDA ont une architecture à trois trains, notamment les systèmes électriques.

L’ASN considère que, dans le cadre de la justification globale de la conception du VDA, une attention
particulière devra être portée d’une part au potentiel impact sur la sûreté de l’architecture à trois trains des
systèmes supports au système VDA, et d’autre part, aux exigences d’étanchéité appliquées aux vannes
d’isolement et aux vannes réglantes du système VDA pour assurer le confinement des substances radioactives.

III_F5. Le RPS devra inclure des éléments de réponse à ces considérations relatives à la conception
du système VDA.

Système RBS

Le système de borication de sécurité (RBS) permet l’injection d’eau borée dans le circuit primaire afin de
garantir la sous-criticité du cœur dans certaines conditions de fonctionnement (DBC 2-4 et DEC-A). Sa
conception s’appuie sur celle du système RBS du réacteur EPR de Flamanville, bien que des évolutions de
conception aient été introduites, telles qu’une architecture à trois trains au lieu de deux et une injection du
bore dans le cœur du réacteur via les branches froides du circuit primaire principal au lieu d’une injection via
le système d’injection de sécurité (RIS RA). Ces deux évolutions de conception devraient améliorer la maîtrise
de la réactivité dans les situations accidentelles.

Les pompes du système RBS seront testées périodiquement pour vérifier leurs caractéristiques en pression et
en débit. Pour le réacteur EPR de Flamanville, la configuration du circuit retenue pour ce test implique que
les vannes RBS d’isolement de l’enceinte soient fermées, ce qui impose la mise en contre-pression de la vanne.
Ce lignage a été adopté également pour réaliser le brassage mensuel de la bâche RBS. Dans le cadre de
l’instruction de la mise en service du réacteur EPR de Flamanville, l’ASN vous a indiqué qu’un tel
fonctionnement en contre pression, qui peut atteindre 232 bars, est susceptible de dégrader l’étanchéité des
vannes RBS d’isolement de l’enceinte.

26 /37
L’ASN note que vous prévoyez une évolution de la conception de la ligne d’essai du système RBS par rapport
à celle retenue pour le réacteur EPR de Flamanville. Cette évolution a pour objectif de limiter la pression dans
le système lors des opérations de brassage des bâches RBS. Les vannes d’isolement de l’enceinte du système
RBS ne seraient ainsi soumises à une contrepression élevée que pendant les essais périodiques de ce système.

III_F6. Le RPS devra décrire la modification de conception introduite dans la ligne d’essai du
système RBS par rapport au réacteur EPR de Flamanville et justifier que cette modification ne
dégrade pas la capacité du système RBS à réaliser les fonctions prévues par la démonstration de
sûreté.

Système RIS RA

Le système d’injection de sécurité et de refroidissement à l’arrêt (RIS RA) est constitué de trois trains
indépendants et séparés. Dans les conditions normales d’exploitation du réacteur, le système RIS RA participe
à l’évacuation de la puissance du cœur (mode refroidissement à l’arrêt, RA) et au remplissage en eau des
piscines du bâtiment du réacteur pour les opérations de déchargement et de rechargement du combustible
(mode injection de sécurité, IS). En conditions accidentelles, le système RIS RA participe à l’accomplissement
de trois fonctions fondamentales de sûreté :
- le maintien de l’inventaire en eau (mode IS) ;
- le maintien de la sous-criticité via l’injection d’eau borée dans le circuit primaire (mode IS) ;
- le refroidissement du cœur et l’évacuation durable de la puissance résiduelle (mode RA).

L’un des trains du système RIS RA dispose d’une source froide et d’une l’alimentation électrique diversifiées,
ce qui garantit sa disponibilité en cas de manque de tension généralisé. Cette évolution constitue une
amélioration notable par rapport à la conception retenue pour le réacteur EPR de Flamanville.

Néanmoins, l’ASN note qu’aucune diversification matérielle des pompes d’injection à basse pression (pompes
ISBP) n’est prévue. Ainsi, la perte des trois pompes ISBP par mode commun sera prise en compte dans les
études des conditions DEC-A. Pour gérer cette situation, vous prévoyez une substitution fonctionnelle des
pompes ISBP par d’autres pompes considérées comme disponibles lors de la gestion de l’accident.

III_F7. Le RPS devra décrire les dispositions retenues pour gérer une condition de fonctionnement
induite par une défaillance de mode commun des pompes ISBP. La faisabilité de ces dispositions
devra également être justifiée.

La conception envisagée pour le système RIS RA est largement basée sur celle du réacteur EPR de Flamanville.
L’instruction de la mise en service de ce réacteur a permis d’identifier certains risques liés à la conception de
ce système, tels que le risque de perte des pompes RIS RA par cavitation ou par aspiration d’air, le risque de
mélange explosif H2/O2, le risque de dégazage ou d’entrée d’air pouvant induire des phénomènes de coup de
bélier ou de corrosion, ou le risque de dilution du circuit primaire par le système RIS RA.

III_F8. Le RPS devra décrire les dispositions de conception prises pour prévenir ces situations et
justifier leur caractère suffisant.

L’ASN vous a demandé au 7.5 de l’annexe I de son avis en référence [4], d’étudier des évolutions de conception
afin de réduire le risque de bipasse du confinement pour le système RIS RA. En effet, une partie de ce système
véhicule de l’eau contaminée hors de l’enceinte de confinement.

L’article 3.9 de l’arrêté INB en référence [16] demande de justifier que les accidents susceptibles de conduire
à des rejets importants de matière dangereuse ou à des effets dangereux hors du site avec une cinétique qui ne
permettrait pas la mise en œuvre à temps des mesures nécessaires de protection des populations sont
impossibles physiquement ou, si cette impossibilité physique ne peut pas être démontrée, que les dispositions

27 /37
mises en œuvre sur ou pour l’installation permettent de rendre ces accidents extrêmement improbables avec
un haut degré de confiance.

III_F9. Le RPS devra décrire les nouvelles dispositions de conception prises pour le système RIS RA
afin de réduire le risque de bipasse du confinement et de rejets directs à l’atmosphère. De plus,
conformément à l’article 3.9 de l’arrêté INB en référence [16], le RPS devra apporter la justification
de l’élimination pratique des situations à risque de bipasse du confinement à travers le système RIS
RA.

Le retour d’expérience du réacteur EPR de Flamanville a montré que l’instruction technique de ces éléments
peut s’avérer longue. Ainsi, une transmission anticipée des éléments susmentionnés, avant la demande
d’autorisation de création d’INB, est recommandée.

Dispositifs de filtration de l’eau dans l’IRWST

L’efficacité de la fonction de recirculation fait toujours l’objet d’instructions pour les réacteurs en
fonctionnement et pour le réacteur EPR de Flamanville, compte tenu de la complexité des phénomènes en
jeu et des difficultés à apporter des éléments suffisamment démonstratifs. Des incertitudes subsistent,
notamment par rapport à la fonction de filtration de l’eau dans l’IRWST.

L’ASN considère que la démonstration de l’efficacité de la fonction de recirculation est nécessaire pour statuer
sur le caractère acceptable de la conception proposée.

III_F10. L’ASN vous demande de démontrer la fiabilité de la fonction de recirculation dans les
situations de perte de réfrigérant primaire (DBC3-4, DEC A) et d’accident grave (DEC B). Cette
démonstration devra prendre notamment en compte les conclusions des instructions en cours sur
cette thématique.

G. Architecture des systèmes supports

Systèmes de ventilation et de conditionnement thermique

Les systèmes de conditionnement thermique participent au maintien des conditions d’ambiance (température,
pression et irradiation) requises pour assurer, d’une part, le bon fonctionnement des équipements importants
pour la sûreté et, d’autre part, l’accessibilité aux locaux. Ils concourent également au confinement des matières
radioactives.

III_G1. L’ASN vous demande de joindre, en support à une demande d’autorisation de création, les
études thermiques et de préciser, dans la démonstration de sûreté, les hypothèses de modélisation
et les exigences de surveillance en exploitation qui en découlent.

Contrôle-commande

L’architecture du contrôle-commande, qui est similaire à celle du réacteur EPR de Flamanville, intègre les
améliorations apportées à cette dernière au cours de l’instruction de sa mise en service. Il dispose par ailleurs
d’un nouveau système, le DAS (diverse actuation system), diversifié par rapport au système de protection (PS). Le
DAS héberge les fonctions DEC-A nécessaires en cas de défaillance du PS.

L’ASN considère que l’architecture générale, la déclinaison du principe de défense en profondeur et le

référentiel de conception pour le contrôle-commande présentés dans le DOS sont acceptables à ce stade.

28 /37
III_G2. L’ASN rappelle que l’instruction de la conception du contrôle-commande du réacteur EPR
de Flamanville s’est avérée longue et complexe. L’ASN considère donc que des échanges techniques
approfondis devront avoir lieu en amont d’une demande d’autorisation de création d’INB, tout
particulièrement en cas de recours à des solutions technologiques nouvelles (nouveau modèle de
plateforme de contrôle-commande ou utilisation d’un nombre important de composants dits
« intelligents »).

Distribution électrique

L’article [Link].4 du guide n° 22 en référence [6] dispose que « l’architecture […] et la fiabilité du système
d’alimentation électrique de secours doivent être cohérentes avec l’architecture […] des systèmes assurant une fonction de sûreté
qu’il alimente ».

Les divisions électriques sont organisées en trois trains de sûreté, en cohérence avec l’architecture à trois trains
des principaux systèmes de sauvegarde. Toutefois certains systèmes de sauvegarde ou équipements importants
sont organisés en quatre trains, du fait de l’architecture à quatre boucles du circuit primaire. Il s’agit notamment
du système VDA, du système de vapeur principal (VVP) et tout particulièrement des vannes d’isolement
vapeur (VIV) ainsi que de certains composants du circuit primaire. Ainsi, deux trains de ces systèmes sont
alimentés par une même division électrique et les groupes motopompes primaires (GMPP) 3 et 4 sont
alimentés par la même division électrique et par le même tableau électrique.

L’ASN note votre intention de mettre à jour la liste des DBC incluse dans le RPS pour tenir compte de la
conception spécifique de certains systèmes.

III_G3. Le RPS devra démontrer la cohérence entre l’architecture des systèmes électriques et celle
des systèmes servis.

Groupes électrogènes de secours

L’ASN note les efforts importants engagés par EDF pour la conception des sources électriques de secours.
En effet, vous prévoyez quatre niveaux de secours pour gérer les situations de perte d’alimentations
électriques :
- quatre groupes électrogènes de secours (GES) principaux valorisés dans les situations de manque
de tension externe (MDTE). Un groupe électrogène supplémentaire, identique aux GES
principaux est prévu pour les opérations de maintenance sur l’un des GES principaux ;
- un GES dédié aux situations de manque de tension généralisée (MDTG), appelé GES DEC-A ;
- un GES dédié à la gestion des situations avec fusion du cœur, appelé GES DEC-B ;
- des points de raccordement sont également prévus dès la conception pour permettre la connexion
de sources d’alimentation mobiles.

Au stade du DOS, il est prévu d’utiliser une technologie de type mono-groupe à moteur diesel pour les GES
principaux et GES DEC-B et une technologie de type multi groupe à moteurs diesel pour le GES DEC-A.
Une exigence d’indépendance et de diversification entre les GES principaux et le GES DEC-A a été retenue.
Le GES DEC-B présente un requis d’indépendance vis-à-vis des autres GES.

Par ailleurs, vous avez indiqué que ces GES seront dimensionnés pour permettre la gestion de l’ensemble des
situations incidentelles et accidentelles les requérant en prenant en compte l’impact simultané des accidents
sur le réacteur et la piscine d’entreposage du combustible.

Enfin, l’autonomie visée pour l’ensemble des GES est de 100 heures.

III_G4. Le RPS devra démontrer le bon dimensionnement des GES principaux, GES DEC-A et GES
DEC-B avec des marges suffisantes vis-à-vis des puissances appelées par les équipements qu’ils

29 /37
secourent électriquement. La documentation support au RPS devra justifier le caractère suffisant de
la diversification et de l’indépendance entre les différents GES, incluant leurs systèmes de support,
ainsi que l’autonomie retenue pour l’ensemble des GES.

H. Conception des systèmes requis pour la gestion des situations avec fusion du cœur

Récupérateur de corium

Le DOS présente les évolutions envisagées pour le récupérateur de corium par rapport à celui du réacteur
EPR de Flamanville. Ces modifications seront examinées de manière détaillée dans le cadre de la demande
d’autorisation de création.

Parmi ces modifications, l’ASN note la réduction significative de la taille de la trappe fusible par rapport à
celle du réacteur EPR de Flamanville. Au cours de l’instruction du DOS, vous avez justifié que la taille retenue
pour la trappe fusible est suffisante pour permettre l’inspection visuelle du puits de cuve.

III_H1. Le RPS accompagnant une éventuelle demande d’autorisation de création d’INB devra
indiquer les dimensions retenues pour la trappe fusible et justifier que ces dimensions sont
suffisantes pour permettre l’inspection du puits de cuve.

Par ailleurs, l’ASN note que vous retenez la valeur de 20 bars absolus comme pression maximale de rupture
de la cuve en cas d’accident grave.

III_H2. Le RPS devra justifier la tenue de la trappe fusible en cas de rupture de la cuve intervenant
à une pression à 20 bars absolus dans la cuve.

Le DOS présente, sans les justifier, les valeurs de pression et de flux thermique retenues pour la conception
du récupérateur de corium. Le DOS s’appuie sur les essais de flux critiques réalisés pour le réacteur EPR de
Flamanville, sans justifier leur applicabilité au récupérateur de corium prévu pour le réacteur EPR2.

III_H3. Le RPS devra justifier l’ensemble des hypothèses prises en compte pour la conception du
récupérateur de corium.

Système EVU

Le système d’évacuation ultime de la puissance de l’enceinte de confinement (EVU) assure le transfert de la

chaleur de l’atmosphère de l’enceinte vers la source froide ultime dans les situations accidentelles avec fusion
du cœur. Il constitue ainsi le dernier recours pour maintenir la pression et la température de l’enceinte à des
valeurs compatibles avec le maintien de son étanchéité et avec les profils de qualification des équipements
dans le bâtiment réacteur. Il assure également l’alcalinisation de l’eau de l’IRWST par injection de soude afin
de limiter les conséquences radiologiques.

L’utilisation du système EVU en accident grave conduit, tel que prévu, à véhiculer du fluide fortement
contaminé en dehors de l’enceinte de confinement sur une durée de mission d’au moins un an.

Cette conception est similaire à celle du réacteur EPR de Flamanville. Toutefois, le DOS ne présente pas les
réflexions que vous avez menées pour justifier ce choix, eu égard à l’état des connaissances et aux progrès
technologiques.

À ce propos, l’ASN note que vous avez présenté, après l’instruction du DOS, un dossier de synthèse
en support de votre choix. Ce dossier aborde les technologies dites « wall condensers » existantes ou

30 /37
en développement, leurs performances et leur niveau de maturité, ainsi que les avantages et
inconvénients des différentes configurations intégrant ces technologies.

Concernant plus particulièrement le risque de bipasse du confinement, l’ASN vous a demandé, au 7.5 de
l’annexe I de son avis en référence [4], d’étudier des évolutions de conception afin de réduire ce risque,
inhérent à la conception retenue pour le système EVU.

III_H4. Le RPS accompagnant la demande d’autorisation de création d’INB devra décrire les
dispositions de conception prises pour le système EVU afin de réduire le risque de bipasse du
confinement et de rejets directs à l’atmosphère. Le RPS devra identifier les mesures supplémentaires
prises en réponse à la demande formulée au 7.5 de l’avis de l’ASN en référence [4]. De plus,
conformément à l’article 3.9 de l’arrêté INB en référence [16], le RPS devra apporter la justification
de l’élimination pratique des situations de bipasse du confinement au travers du système EVU.

Le retour d’expérience du réacteur EPR de Flamanville a montré que l’instruction technique de ces éléments
peut s’avérer longue. Ainsi, leur transmission en amont de la demande d’autorisation de création d’INB
apparaît nécessaire afin d’anticiper au mieux l’introduction d’évolutions de conception
éventuellement nécessaires.

Par ailleurs, le système EVU constitue la dernière ligne de défense en cas de fusion du cœur. Sa fiabilité à court
et à long termes doit être garantie dans ces situations accidentelles. Sa fiabilité dépend, notamment, de
l’efficacité de la fonction de recirculation depuis l’IRWST en accident grave (c.f. § Dispositifs de filtration de l’eau
dans l’IRWST), des conséquences des fuites éventuelles du circuit EVU sur sa capacité à fonctionner à long
terme et de la disponibilité des systèmes support d’alimentation électrique et de refroidissement.

Vous avez mis en place des dispositions de conception (classement et qualité de conception) qui permettent
de garantir, selon vous, l’étanchéité du circuit. Par ailleurs, la conception du réacteur prévoit l’installation d’un
dispositif de réinjection des effluents. Ce dispositif pourra assurer la réinjection des fuites du système EVU
dans le bâtiment du réacteur à court terme et en continu. Ceci constitue une amélioration par rapport au
réacteur EPR de Flamanville, pour lequel la réinjection de fuites de l’EVU dans le bâtiment du réacteur n’est
possible qu’en phase « long terme » de l’accident.

En outre, vous vous êtes engagé à prendre en compte dans les études de conception et de conséquences
radiologiques l’occurrence d’une fuite sur le système EVU de 1 l/h par file dès sa mise en service. Cette valeur
maximale de fuite, retenue pour la qualification des équipements du système EVU en accident grave, est une
hypothèse prépondérante pour la conception de ce système. La vérification de cette hypothèse pendant
l’exploitation est indispensable.

III_H5. Le RPS devra :

- indiquer la valeur maximale de fuite retenue à la conception pour le système EVU ;
- justifier que cette exigence de conception pourra être vérifiée en exploitation. À cet égard,
il devra décrire les dispositions envisagées pour une telle vérification.

Par ailleurs, pour pallier les risques induits par une défaillance du système EVU lors d’un accident avec fusion
du cœur, vous avez prévu d’étudier des dispositions dites « de résilience » fondées sur la valorisation de
dispositions existantes dans l’installation ou sur des moyens externes au site. La nature de ces dispositions et
les fonctions qui leur sont associées sont à préciser, ainsi que les points de connexion pouvant être utilisés par
les moyens extérieurs au site, en cas de défaillance de l’EVU lors d’un accident avec fusion du cœur.

L’ASN note votre engament de présenter dans le RPS les dispositions « de résilience » permettant de
garantir le confinement des substances radioactives en cas de défaillance du système EVU en
situation d’accident grave.

31 /37
III_H6. Le RPS devra également justifier le caractère suffisant de ces dispositions de résilience.

I. Fonction de confinement

Étanchéité du liner

Compte tenu des dispositions de conception et de réalisation retenues et décrites dans le DOS, vous
considérez que les fuites à travers le liner seront négligeables. Ainsi, dans les calculs de conséquences
radiologiques de la démonstration de sûreté, vous prévoyez que la valeur de la fuite globale de l’enceinte soit
entièrement attribuée aux traversées de l’enceinte. Néanmoins, au titre de la robustesse, vous prévoyez la
réalisation d’une étude considérant un taux de fuite directe de l’enceinte de 5 %14.

III_I1. L’ASN souligne que cette étude de sensibilité revêt une importance particulière dans le calcul
des conséquences radiologiques. Les résultats de cette étude devront être présentés en appui au RPS.

En tout état de cause, la qualité de réalisation du liner et le caractère suffisant des contrôles de
fabrication devront être démontrés. En particulier, les zones singulières devront faire l’objet d’une
attention particulière à la conception, lors de la réalisation et tout au long de la vie de l’installation.

Enfin, vous devrez également chercher à caractériser au mieux le taux de fuite de l’enceinte et la
répartition de ces fuites lors de l’épreuve de l’enceinte pré-opérationnelle puis tout au long de la vie
de l’installation. Dans ce cadre, les conditions de réalisation de l’épreuve, la configuration des
traversées (ouvertes, fermées, …), les dispositions complémentaires d’instrumentation ou encore les
incertitudes de mesure associées à l’épreuve de l’enceinte devront faire l’objet d’un examen
approfondi.

Étanchéité des traversées de l’enceinte

Le DOS indique que les fuites potentielles issues du bâtiment du réacteur proviennent d’inétanchéités des
traversées fluides, des grandes traversées et des circuits constituant une extension de la troisième barrière du
confinement (E3B). D’après le DOS, ces fuites arriveront dans des zones contrôlées des bâtiments
périphériques. Vous ne considérez pas de fuite de l’enceinte via les organes d’isolement du circuit secondaire
(VVP, ARE, VDA) et les traversées électriques.

En cas d’endommagement des portions des tuyauteries du système de vapeur principal (VVP) et du système
d’alimentation en eau normale des générateurs de vapeur (ARE) situées à l’intérieur de l’enceinte en situation
d’accident grave, notamment à la suite d’une déflagration d’hydrogène, les fuites associées aux organes
d’isolement des systèmes VVP, ARE et VDA sont susceptibles de conduire à des rejets directs ou indirects
non filtrés dans l’environnement, ces traversées ne débouchant pas dans les zones contrôlées des bâtiments
des auxiliaires nucléaires.

Vous vous êtes engagé à vérifier, par une approche simplifiée, la tenue des tuyauteries ARE et VVP aux
chargements résultant d’une déflagration d’hydrogène.

III_I2. Les conclusions de la vérification de la tenue des tuyauteries ARE et VVP aux chargements
résultant d’une déflagration d’hydrogène devront être présentées dans le RPS. L’approche simplifiée
que vous comptez utiliser pour cette vérification devra tenir compte, de manière conservative, des
chargements induits par les phénomènes dynamiques résultant d’une déflagration d’hydrogène.

14Cette valeur a été établie en considérant que la totalité du débit de fuite moyen mesuré sur les réacteurs 900 MWe en
fonctionnement au cours des épreuves correspondrait à une fuite au travers du liner, ce qui n’est pas représentatif de la réalité.

32 /37
Par ailleurs, vous considérez que les situations de rupture de tubes des générateurs de vapeur induites par un
accident grave sont « pratiquement éliminées » et, en conséquence, qu’il n’y a pas lieu de spécifier des exigences
d’étanchéité pour les organes d’isolement des générateurs de vapeur (ARE, VVP et VDA). Par ailleurs, pour
les situations d’accident grave, aucune fuite primaire-secondaire n’est considérée dans les études de
conséquence radiologiques. Aucun élément permettant de justifier que les conséquences radiologiques des
fuites primaire-secondaire sont négligeables en situation d’accident grave n’a été apporté.

Vous avez précisé lors de l’instruction, qu’en cas d’accident grave, le remplissage des générateurs de vapeur et
l’isolement du circuit secondaire est préconisé dans la documentation de conduite afin de disposer d’une
ultime barrière : la rétention dans la phase liquide du générateur de vapeur. Toutefois, vous n’avez pas
démontré que l’exploitant serait en capacité d’assurer, pour toutes les situations d’accident grave et dans la
phase long terme de l’accident, le remplissage des générateurs de vapeur.

III_I3. Le RPS devra justifier le caractère négligeable, dans toutes les situations d’accident grave (y
compris celles pour lesquelles le remplissage et le maintien en eau dans les générateurs de vapeur
ne seraient pas possibles), des conséquences radiologiques des fuites primaire-secondaire
susceptibles d’être rencontrées en exploitation. En tout état de cause, l’objectif reste d’assurer
l’étanchéité des tubes des générateurs de vapeur.

Étanchéité des traversées électriques

Les traversées électriques seront de conception identique à celles des réacteurs en fonctionnement et certaines
d’entre elles déboucheront dans des zones non contrôlées des bâtiments périphériques. Le DOS précise que
leur conception est telle que les fuites seront nulles.

Pour justifier cette hypothèse, vous vous êtes engagé à présenter, en amont d’une demande d’autorisation de
création d’INB, une analyse du retour d’expérience de l’exploitation des traversées électriques des réacteurs
en fonctionnement en lien avec la fonction étanchéité et les conclusions que vous en tirez quant à la fiabilité
de ces équipements.

Pour ce qui concerne le maintien de l’étanchéité des traversées électriques en conditions d’accident grave, vous
avez indiqué qu’il n’est pas prévu de confiner la zone dans laquelle débouchent ces traversées.

L’ASN considère que l’acceptabilité de l’implantation de certaines traversées électriques dans des zones non
contrôlées des bâtiments périphériques est assujettie aux résultats de leur qualification aux conditions
d’accident grave.

III_I4. Le RPS devra apporter des éléments de justification relatifs à la qualification des traversées
électriques en conditions d’accident grave afin de démontrer l’étanchéité de ces traversées dans de
telles conditions.

Etanchéité des organes d’isolement de l’enceinte

À l’instar du réacteur EPR de Flamanville, la conception initiale du réacteur EPR NM prévoyait un système
de collecte et de filtration des fuites potentielles via les grandes traversées de l’enceinte, intervenant dans toutes
les conditions de fonctionnement, le système EPP15. Compte tenu de sa conception, ce système pourrait
conduire, dans certaines situations particulières, à une augmentation des rejets. Ainsi, vous avez décidé de
supprimer ce système.

L’ASN souligne que l’objectif de limitation des rejets liés aux inétanchéités potentielles des traversées sensibles
et à risque radiologique important en situation accidentelle doit être maintenu.

15 Système EPP : système d’étanchéité et contrôle de fuites de l’enceinte.

33 /37
L’ASN note votre engagement de justifier à échéance d’une éventuelle demande d’autorisation de
création d’INB la technologie retenue pour les vannes d’isolement de l’enceinte du système de
balayage du bâtiment réacteur (EBA16).

III_I5. L’objectif de limitation des rejets liés aux inétanchéités potentielles des traversées sensibles
et à risque radiologique important en situation accidentelle doit figurer dans le RPS, ainsi que les
moyens prévus pour le respecter.

Extension de la troisième barrière de confinement

L’extension de la troisième barrière de confinement est constituée des portions des circuits et des équipements
associés extérieurs au bâtiment du réacteur qui peuvent véhiculer, en situation accidentelle, du fluide ou du
gaz radioactif issus de l’intérieur de l’enceinte. Ces portions de circuits sont pourvues d’organes d’isolement,
qui constituent la limite de l’extension de la troisième barrière de confinement.

III_I6. Conformément à la demande de l’ASN formulée au 7.6 de l’annexe I de son avis en référence
[4], le RPS devra décrire les dispositions de conception et d’exploitation prises pour garantir
l’étanchéité des organes en limite de l’extension de la troisième barrière de confinement.

Le DOS indique que, pour l’ensemble des équipements appartenant à l’extension de la troisième barrière
(E3B), l’exigence de qualification relative à l’étanchéité porte sur l’étanchéité externe. Les équipements situés
en limite d’E3B font, de plus, l’objet d’une exigence d’étanchéité interne. Il est également précisé que la
vérification de l’exigence concernant les équipements de l’E3B est satisfaite par l’utilisation de matériaux dont
le comportement en termes d’étanchéité est compatible avec les niveaux de pression, de température et
d’irradiation en conditions accidentelles.

Par ailleurs vous avez précisé lors de l’instruction qu’une hypothèse de fuite globale de 7 l/min de l’ensemble
des circuits E3B a été retenue. Cette valeur est, selon vous, représentative d’un niveau de fuite maximum.
Vous considérez qu’un niveau de fuite plus élevé ne conduirait pas à un effet falaise sur l’impact radiologique
associé puisque ces fuites sont confinées dans des bâtiments ventilés et filtrés et qu’elles pourront par ailleurs
être réinjectées dans le bâtiment du réacteur.

Enfin, vous vous êtes engagé à vous assurer que les contrôles visuels relatifs à l’étanchéité externe des
équipements de robinetterie appartenant à l’E3B seront déclinés dans la documentation d’exploitation.

III_I7. Le dossier accompagnant la demande d’autorisation de création devra décrire le principe des
contrôles visuels relatifs à l’étanchéité externe des équipements de robinetterie. L’ASN souligne que
ces contrôles devront être réalisés sur l’ensemble des équipements des circuits E3B en situations
accidentelles DBC et DEC-A, susceptibles de fuir (brides, garniture de pompe, etc.).

Confinement des bâtiments périphériques

Au cours de l’instruction, vous avez indiqué envisager une évolution du confinement dynamique interne en
condition accidentelle par rapport à la conception décrite dans le DOS. Cette évolution, qui aurait pour
objectif de favoriser le confinement dynamique interne des zones contrôlées en situation accidentelle,
consisterait en la mise en place d’un transfert d’air depuis les zones non contrôlées vers les zones contrôlées
des bâtiments des auxiliaires. Ce transfert d’air pourrait être interrompu en cas de défaillance.

16Système EBA : système de balayage du bâtiment réacteur. Le système EBA comprend une partie opérationnelle et une partie
accidentelle. Du fait de l’existence de traversées de ce système au travers de l’enceinte, le système EBA contribue à la fonction
confinement en assurant un confinement statique et dynamique.

34 /37
L’ASN s’interroge sur les risques de transfert de la contamination de la zone contrôlée vers la zone non
contrôlée, notamment en cas de défaillance de l’isolement.

III_I8. Le RPS devra décrire les dispositions permettant d’interrompre les transferts d’air depuis les
zones non contrôlées vers les zones contrôlées des bâtiments des auxiliaires ainsi que les principes
d’identification des exigences de surveillance en exploitation qui seront associées. La documentation
support au RPS devra justifier que ces dispositions permettent d’écarter le risque de transfert de
contamination d’une zone contrôlée vers une zone non-contrôlée.

Bipasse du confinement de l’enceinte par des circuits

Eviter les risques de bipasse du confinement doit être un objectif prioritaire pour un nouveau réacteur.
L’instruction détaillée du réacteur EPR de Flamanville concernant cette thématique s’est avérée longue et
complexe. L’ASN considère que ce sujet doit faire l’objet d’échanges préalablement à la demande
d’autorisation de création d’INB, afin d’anticiper au mieux l’introduction d’évolutions de conception
éventuellement nécessaires.

L’ASN note votre engagement de transmettre, à l’appui d’une demande d’autorisation de création
d’INB, les études déterministes et probabilistes relatives aux risques de bipasse du confinement.

III_I9. Le RPS devra décrire les dispositions mises en place permettant d’éviter les bipasses du
confinement au travers des circuits et justifier que ces dispositions sont suffisantes.

Limitation de la dispersion de substances dangereuses par le sol et les eaux souterraines

III_I10. Conformément à la demande de l’ASN formulée au 10 de l’annexe I de son avis en référence

[4], le RPS devra décrire les dispositions mises en place pour limiter la dissémination de substances
dangereuses, radioactives ou non, par le sol et les eaux souterraines.

J. Conception de la piscine d’entreposage et de manutention du combustible

Options de conception visant à renforcer la prévention de la fusion de combustible dans le bâtiment du combustible

Certaines situations accidentelles étudiées dans le domaine de conception de référence pourraient conduire,
temporairement, à l’ébullition de l’eau de la piscine d’entreposage du combustible. À cet égard, l’ASN vous
rappelle que, conformément à sa position présentée au 9.1 de l’annexe I de son avis en référence [4], ces
situations doivent être limitées et justifiées et ne doivent pas conduire au découvrement des assemblages de
combustible.

III_J1. Le RPS devra lister et justifier les situations accidentelles pour lesquelles l’ébullition
temporaire de l’eau de la piscine d’entreposage du combustible pourrait se produire. Le RPS devra
apporter la démonstration du non-découvrement des assemblages de combustible pendant toute la
durée de ces situations.

Compte tenu des situations mentionnées ci-dessus, le système de refroidissement de la piscine d’entreposage
du combustible (système PTR) doit être conçu pour pouvoir démarrer et fonctionner en situation d’ébullition
de l’eau de la piscine. Or, le DOS ne précise pas les options de conception qui permettront de remplir ces
conditions.

Lors de l’instruction du DOS, deux options de conception ont été présentées :

- connexion des tuyauteries d’aspiration au compartiment d’entreposage par une tuyauterie en forme
de crosse, équipée d’un dispositif casse-siphon ;

35 /37
 - connexion d’une ou plusieurs de ces tuyauteries au compartiment d’entreposage par l’intermédiaire
d’une cellule d’aspiration.

L’ASN considère que la solution finalement retenue pour assurer indifféremment le démarrage et le
fonctionnement de l’un des trois trains de ce système en situation d’ébullition de l’eau dans la piscine doit être
justifiée sur la base d’un bilan des avantages et des inconvénients des différentes options techniques
envisageables.

III_J2. Le RPS devra décrire les dispositions de conception retenues pour assurer indifféremment le
démarrage et le fonctionnement de l’un des trois trains du système PTR en situation d’ébullition de
l’eau de la piscine d’entreposage du combustible. La solution technique finalement retenue devra
faire l’objet d’une justification sur la base d’un bilan des avantages et inconvénients de différentes
options techniques envisageables.

Elimination pratique des situations conduisant à la fusion de combustible dans le bâtiment du combustible

Compte tenu de l’état actuel des connaissances, vous avez fait le choix de retenir une approche qui consiste,
à mettre en œuvre une démarche d’ « élimination pratique » des situations de fusion de combustible dans le
bâtiment du combustible.

Vous affichez dans le DOS que vous privilégiez la mise en œuvre de dispositions de conception permettant
de rendre physiquement impossible une fusion de combustible dans le bâtiment du combustible.

L’ASN note votre engagement de présenter dans le RPS votre démarche permettant de caractériser les
séquences menant à la fusion de combustible dans le bâtiment du combustible et d’identifier les dispositions
d’élimination pratique et les exigences associées. Les résultats de l’application de cette démarche seront
également présentés dans le RPS.

La justification du caractère pratiquement éliminé d’une situation accidentelle doit d’abord s’appuyer sur une
approche déterministe, complétée par un éclairage probabiliste. La justification déterministe du
caractère pratiquement éliminé d’une situation doit reposer à la fois sur l’existence d’un nombre suffisant de
lignes de défense constituées de dispositions matérielles et organisationnelles et sur la robustesse et
l’indépendance de ces lignes de défense. Les dispositions matérielles retenues dans le cadre de la démarche
d’élimination pratique d’une situation accidentelle doivent faire l’objet d’exigences de conception, de
réalisation et d’exploitation. De façon générale, les dispositions retenues dans ce cadre doivent être peu
sensibles aux actions et erreurs humaines ainsi qu’aux agressions.

III_J3. Le RPS devra identifier les situations accidentelles qui conduiraient à la fusion de
combustible entreposé dans la piscine d’entreposage du combustible et apporter la justification de
l’élimination pratique de chacune de ces situations. Ainsi, le RPS détaillera les dispositions visant à
rendre physiquement impossible une situation conduisant à la fusion de combustible dans la piscine
d’entreposage du combustible ou à la rendre extrêmement improbable avec un haut degré de
confiance. Les exigences relatives à ces dispositions seront également détaillées dans le RPS. Vous
devrez justifier la pérennité de ces dispositions tout au long la vie de l’installation.

Au cours de l’instruction, vous avez donné quelques informations relatives à la prise en compte des différents
types de cumuls d’évènements (défaillance simple, maintenance, défaillance de cause commune, manque de
tension externe, etc.) ainsi qu’à l’autonomie des dispositions valorisées dans les études.

III_J4. Le RPS devra détailler comment les différents types de cumuls d’évènement (défaillance
simple, maintenance, défaillance de cause commune, manque de tension externe, etc.) sont pris en
compte dans les études d’élimination pratique de la fusion de combustible dans la piscine

36 /37
d’entreposage du combustible. L’autonomie des dispositions valorisées dans les études devra
également être précisée. Par ailleurs, les études déterministes relatives à la démonstration de
l’élimination pratique de la fusion de combustible en piscine d’entreposage du combustible devront
tenir compte des indisponibilités pour maintenance des équipements assurant des fonctions de
sûreté qui peuvent intervenir dans les états d’arrêt du réacteur où la puissance résiduelle du
combustible entreposée en piscine d’entreposage du combustible est maximale.

Par ailleurs, l’ASN note que, bien qu’une brèche significative de la partie basse du compartiment d’entreposage
conduise de façon inévitable au découvrement des assemblages entreposés en piscine d’entreposage du
combustible et à leur fusion, le DOS ne précise pas que cette fosse doit être soumise à des exigences
permettant de rendre sa défaillance extrêmement improbable avec un haut degré de confiance.

III_J5. Le RPS devra identifier de manière exhaustive les équipements dont la défaillance conduirait
inévitablement à la fusion du combustible dans le bâtiment du combustible et définir des exigences
permettant d’exclure leur défaillance.

Enfin, le retour d’expérience de la conception, de la fabrication et de l’exploitation des piscines du réacteur

EPR de Flamanville et des réacteurs en fonctionnement doit être pris en compte.

III_J6. Le dossier accompagnant votre RPS devra présenter et justifier les options de conception, de
fabrication et de suivi en service retenues visant à assurer l’intégrité du compartiment d’entreposage
de la piscine d’entreposage du combustible, notamment en situation accidentelle ou d’agression.

37 /37