I. - Les caractéristiques de la chaudière nucléaire

I-1. La puissance thermique de fonctionnement

Dans la limite de la puissance thermique de dimensionnement mentionnée à l'article 1er l'Autorité de sûreté nucléaire et de radioprotection fixe par décision la puissance thermique maximale de fonctionnement de la chaudière nucléaire, notamment au vu des résultats des essais de démarrage du réacteur.

1-2. Le combustible nucléaire

La chaudière nucléaire est conçue de manière à pouvoir utiliser du combustible dont la matière fissile est constituée soit d'oxyde d'uranium faiblement enrichi en uranium 235, soit d'un mélange d'oxyde d'uranium et d'oxyde de plutonium.

II. - La prévention des accidents

Le réacteur doit être conçu, construit et exploité de manière à empêcher la survenue des situations suivantes :

II-1. La rupture des composants du circuit primaire et de certaines tuyauteries sous pression

Des dispositions sont prises pour garantir, tout au long de la vie de l'installation, l'intégrité :

- de la cuve du réacteur, de l'enveloppe des générateurs de vapeur ainsi que du pressuriseur et des volutes des pompes principales du circuit primaire ;

- des tuyauteries primaires et secondaires principales pour lesquelles la survenue d'une rupture circonférentielle doublement débattue n'est pas retenue dans les conditions de fonctionnement de référence étudiées dans le rapport de sûreté.

Ces dispositions doivent couvrir l'ensemble des aspects suivants :

- la qualité de la conception et la vérification associée ;

- la qualité de la fabrication et les contrôles associés ;

- le suivi en service devant rendre hautement improbables non seulement l'apparition d'altérations de l'équipement remettant en cause la prévention des différents modes d'endommagement mais aussi l'absence de détection à temps de ces altérations si elles survenaient néanmoins.

II-2. Les accidents avec fusion du coeur pouvant conduire à des rejets radioactifs précoces importants

Les accidents avec fusion du coeur pouvant conduire à des rejets précoces importants font l'objet de mesures de prévention, reposant sur des dispositions de conception, complétées si nécessaire par des dispositions d'exploitation, dont la performance et la fiabilité doivent permettre de considérer ce type de situation comme exclu.

Les situations accidentelles identifiées à ce jour sont :

- les situations de fusion du coeur survenant alors que le circuit primaire est à haute pression ;

- les situations de fusion du coeur dans la piscine de désactivation du combustible usé ;

- les accidents de réactivité résultant d'une introduction rapide dans le circuit primaire d'eau froide ou d'eau insuffisamment riche en absorbant neutronique soluble ;

- les situations de fusion du coeur avec contournement du confinement soit via les générateurs de vapeur ou les circuits connectés au circuit primaire qui sortent de l'enceinte de confinement, soit lors de l'ouverture de l'enceinte de confinement pendant les états d'arrêt ;

- les détonations globales d'hydrogène ainsi que les explosions de vapeur en cuve et hors cuve susceptibles de porter atteinte à l'intégrité de l'enceinte de confinement.

III. - Les fonctions fondamentales de sûreté

III-1. La maîtrise de la réactivité

III-1.1. Dans la cuve du réacteur

III-1.1.1. La surveillance de la réaction nucléaire

Tant qu'un assemblage de combustible est présent dans la cuve, la concentration de l'eau du circuit primaire en absorbant neutronique soluble est surveillée en permanence.

Dès lors que le combustible nécessaire au fonctionnement normal du réacteur est chargé dans la cuve, la réaction nucléaire est surveillée en permanence. Les moyens de mesure en place permettent d'effectuer cette surveillance au-delà de la puissance thermique de dimensionnement du réacteur.

Ces moyens de mesure et l'intensité des sources de comptage associées sont choisis et maintenus à un niveau de performances tel que l'exploitant n'ait jamais à faire démarrer la circulation de l'eau du circuit primaire principal ni à entreprendre la diminution de la concentration de cette eau en absorbant neutronique soluble sans disposer d'une mesure significative du flux neutronique.

Le suivi de la distribution de puissance dans le coeur est assuré par différents systèmes de mesure neutronique répartis dans et en dehors du coeur.

III-1.1.2. Les moyens de contrôle de la réactivité

A n'importe quel niveau de puissance, lorsque le coeur est critique, le bilan des contre-réactions neutroniques doit assurer un comportement intrinsèquement stable en cas d'excursion de puissance.

En particulier :

- le coefficient de température du combustible doit être négatif par conception ;

- le coefficient de vide du réfrigérant primaire doit être négatif par conception ;

- le coefficient de température du modérateur doit être négatif depuis les conditions de puissance nulle à chaud jusqu'aux conditions de fonctionnement nominal ; après chaque chargement du réacteur en combustible nucléaire, ce point est systématiquement vérifié lors des essais physiques de redémarrage et, le cas échéant, un nombre limité de grappes de commande peut être inséré temporairement dans le coeur afin de satisfaire à ce critère en début de cycle.

La réactivité du coeur est contrôlée par deux moyens indépendants, comportant l'un un absorbant neutronique inclus dans les grappes de commande et l'autre un absorbant neutronique soluble dans l'eau de refroidissement du coeur, étant entendu que l'un au moins de ces moyens est capable de maintenir l'arrêt sous-critique du réacteur.

Les éventuelles déformations des assemblages de combustible en fonctionnement normal ou à la suite d'un transitoire, d'un incident ou d'un accident de référence ne doivent pas empêcher la chute, dans les délais requis, des grappes de commande permettant l'arrêt du réacteur.

Outre le système utilisé en fonctionnement normal pour réguler la concentration en absorbant neutronique de l'eau du circuit primaire, la fonction de contrôle de la réactivité est assurée, sans solliciter l'ouverture des soupapes de sûreté du pressuriseur du circuit primaire principal, par un autre système d'injection d'absorbant neutronique composé de deux sous-systèmes capables chacun d'assurer l'arrêt du réacteur à la suite d'un transitoire, incident ou accident de référence autre qu'une perte de réfrigérant primaire.

III-1.1.3. La protection du réacteur

En cas d'évolution anormale des paramètres physiques liés à la réactivité, des dispositifs automatiques permettent l'arrêt du réacteur, notamment en cas de dépassement significatif de la puissance thermique maximale de fonctionnement du réacteur.

III-1.2. Dans le râtelier d'entreposage du combustible sous eau

La conception du râtelier d'entreposage sous eau des assemblages de combustible doit permettre d'exclure tout risque de criticité, non seulement dans les conditions normales d'entreposage, mais également dans le cas d'une concentration nulle de l'eau de la piscine en absorbant neutronique dissous.

III-2. Le refroidissement du combustible nucléaire

III-2.1. Dans la cuve du réacteur

III-2.1.1. Le refroidissement en situation normale

Des systèmes de refroidissement permettent, pour toutes les situations normales d'exploitation, d'assurer en permanence l'évacuation de la puissance thermique des assemblages de combustible en garantissant, avec des marges suffisantes, l'intégrité de ces assemblages.

Lorsque les pompes primaires sont en fonctionnement, le débit de circulation de l'eau dans le circuit primaire doit assurer une évacuation satisfaisante de la chaleur produite au sein des assemblages de combustible sans que la force exercée par la circulation de l'eau porte atteinte au maintien en position ou à l'intégrité des assemblages de combustible dans le coeur.

Les situations nécessitant par conception un abaissement du niveau d'eau dans le circuit primaire au cours des états d'arrêt où le coeur est dans la cuve doivent être définies et justifiées, de même que les dispositions mises en oeuvre pour faire face aux risques associés, incluant les marges de conception, l'instrumentation et les procédures adéquates.

III-2.1.2. La surveillance du refroidissement

Tant qu'un assemblage de combustible est présent dans la cuve, l'inventaire en eau du circuit primaire et l'efficacité du refroidissement du combustible sont surveillés en permanence.

III-2.1.3. La protection du réacteur et les systèmes de refroidissement de secours

Des dispositifs automatiques provoquent l'arrêt du réacteur en cas d'évolution anormale des paramètres physiques relatifs à l'inventaire en eau ou à l'efficacité du refroidissement du coeur.

Des systèmes de refroidissement de secours du coeur doivent permettre, pour tout incident ou accident de référence ainsi que pour les conditions de fonctionnement avec défaillances multiples considérées dans le rapport de sûreté, d'assurer un inventaire en eau suffisant dans le circuit primaire et d'évacuer la puissance résiduelle du coeur.

Bien que des dispositions soient prises pour empêcher la survenue d'une rupture circonférentielle doublement débattue d'une tuyauterie primaire principale, un des systèmes de refroidissement de secours doit pouvoir assurer ses fonctions pour une brèche ayant un débit massique de perte en eau équivalant à celui résultant d'une telle rupture.

Par ailleurs, un système de secours de l'alimentation en eau des générateurs de vapeur doit permettre :

- pour tout transitoire de référence, d'assurer le refroidissement du circuit primaire, puis l'évacuation de la puissance résiduelle du coeur ;

- pour tout incident ou accident de référence ainsi que pour les conditions de fonctionnement avec défaillances multiples sans perte totale du refroidissement par le circuit secondaire, d'assurer le refroidissement du circuit primaire jusqu'aux conditions de fonctionnement d'un système de refroidissement de secours du coeur.

III-2.2. Dans le râtelier d'entreposage du combustible sous eau

III-2.2.1. La surveillance du refroidissement

Tout au long de l'exploitation du râtelier d'entreposage du combustible sous eau, une surveillance de l'inventaire en eau de la piscine du râtelier et de l'efficacité de son refroidissement est assurée en permanence.

III-2.2.2. Les moyens de refroidissement

Des systèmes réalisant les fonctions de gestion de l'inventaire en eau de la piscine du râtelier et de son refroidissement permettent d'assurer que la puissance résiduelle du combustible qui y est entreposé est en permanence évacuée.

Les systèmes de refroidissement disposent d'une capacité d'échange dimensionnée pour permettre d'évacuer en permanence la puissance résiduelle du combustible entreposé en maintenant la température de l'eau de la piscine du râtelier sous son point d'ébullition. Ils doivent être également conçus pour pouvoir démarrer et fonctionner en situation d'ébullition de l'eau de la piscine du râtelier.

Toute fuite ou brèche survenant sur un circuit susceptible de véhiculer de l'eau de la piscine du râtelier :

- soit est considérée comme exclue par un ensemble de dispositions couvrant les mêmes aspects que ceux mentionnés au II-1 du présent article ;

- soit ne doit pas conduire à un découvrement direct des assemblages de combustible en cours de manutention ou entreposés dans le râtelier.

Pour les assemblages entreposés, cette absence de découvrement doit être obtenue même en l'absence de toute action d'isolement.

Dans les situations de vidange partielle accidentelle rendant inopérante l'aspiration de l'eau de la piscine du râtelier par les systèmes de refroidissement, un système de secours d'appoint en eau doit permettre :

- d'éviter le découvrement différé par ébullition des assemblages de combustible entreposés dans le râtelier ;

- de restituer un niveau d'eau suffisant pour remettre en service un système de refroidissement.

III-3. Le confinement des substances radioactives

III-3.1. Le confinement assuré par le gainage des crayons de combustible

Une surveillance du confinement de la matière radioactive du combustible nucléaire par le gainage des crayons de combustible est mise en oeuvre. Cette surveillance est adaptée aux différentes phases d'entreposage, de manutention et d'exploitation des assemblages de combustible sur le site.

Seuls des assemblages combustibles dont le gainage a été conçu et réalisé de manière à être intègre dans les conditions de fonctionnement normal et lors des transitoires incidentels les plus probables peuvent être chargés dans le réacteur nucléaire.

Les conditions d'entreposage des assemblages de combustible dans la piscine de désactivation doivent assurer la prévention et la protection des gaines des crayons de combustible contre tout risque d'endommagement.

III-3.2. Le confinement assuré par le circuit primaire

A partir du moment où le circuit primaire est fermé, son activité et ses fuites sont surveillées en permanence et un bilan de ces dernières est réalisé périodiquement.

Pour les situations d'exploitation où l'évacuation de la chaleur du circuit primaire est assurée par les générateurs de vapeur, une instrumentation adaptée permet plus particulièrement de surveiller en continu le maintien de l'intégrité du circuit primaire au niveau du faisceau tubulaire de chaque générateur de vapeur.

Afin de réduire le risque de rejets en eau du circuit primaire dans l'environnement en cas de rupture d'un ou de plusieurs tubes de générateurs de vapeur, la pression de refoulement du système de refroidissement de secours assurant l'injection d'eau dans le circuit primaire dans ces situations est inférieure au point de consigne d'ouverture des soupapes de protection du circuit secondaire.

III-3.3. Le confinement assuré par les bâtiments

La cuve du réacteur est placée dans une enceinte de confinement comprenant :

- une paroi interne en béton précontraint revêtue sur sa face intérieure d'une peau d'étanchéité ;

- un espace annulaire maintenu à une pression inférieure à la pression extérieure ;

- une paroi externe de protection en béton armé.

La paroi interne de l'enceinte de confinement est conçue et réalisée pour faire face en particulier aux conditions de température et de pression qui résulteraient de la rupture complète d'une tuyauterie primaire principale. Elle est par ailleurs conçue et réalisée de telle manière que son étanchéité est assurée :

- sans nécessiter à court terme d'évacuation de la puissance résiduelle hors de l'enceinte, y compris après un accident avec fusion du coeur ;

- en cas de déflagration globale de la quantité maximale d'hydrogène qui pourrait être contenue dans l'enceinte de confinement au cours d'un accident de fusion du coeur à basse pression.

Toute fuite de la paroi interne de l'enceinte de confinement est collectée et filtrée avant rejet dans l'environnement. L'activité de ces rejets collectés et filtrés fait l'objet d'une surveillance permanente et d'une comptabilisation.

A l'exception des traversées des lignes d'eau et de vapeur du circuit secondaire principal, les traversées et les ouvertures de l'enceinte de confinement conduisent à des bâtiments périphériques présentant des capacités de confinement adéquates.

Les traversées de l'enceinte de confinement véhiculant des fluides disposent d'organes d'isolement permettant de limiter le relâchement de radioactivité dans les bâtiments périphériques. Exceptés ceux qui sont placés sur des systèmes requis pour la gestion accidentelle des accidents, ces organes d'isolement soit permettent d'assurer une fonction de fermeture automatique en cas d'accident, soit sont en position fermée tant que du combustible nucléaire est présent dans la cuve.

Afin d'éviter la traversée du radier de l'enceinte de confinement en cas d'accident avec fusion du coeur, un dispositif permettant la récupération et le refroidissement sur le long terme de la matière radioactive fondue provenant du réacteur nucléaire est mis en place.

L'exploitant doit, tout au long de la vie de l'installation, veiller à la fiabilité des organes actifs et à la performance globale des dispositifs de confinement qui permettent :

- en cas de situation d'accident sans fusion du coeur, d'éviter la mise en place de mesures de protection de la population vivant dans le voisinage de la centrale ;

- en cas de situation d'accident avec fusion du coeur à basse pression, de n'avoir recours qu'à des mesures de protection de la population très limitées en étendue et en durée.

A cette fin, l'étanchéité de chacune des parois de l'enceinte de confinement et de leurs traversées est testée avant le premier chargement du combustible dans la cuve du réacteur, puis contrôlée périodiquement. Les contrôles de l'étanchéité de la paroi interne sont notamment effectués au moyen d'essais réalisés à la pression de dimensionnement.

Le bâtiment qui abrite le râtelier d'entreposage sous eau du combustible dispose :

- de systèmes de ventilation assurant son confinement dynamique en condition d'exploitation normale et en cas d'accident de manutention d'un assemblage de combustible ;

- d'un dispositif permettant de détecter les fuites issues d'une perte éventuelle d'étanchéité du cuvelage de la piscine du râtelier.

Ce bâtiment est par ailleurs conçu pour collecter les fuites éventuelles de la piscine du râtelier et des tuyauteries connectées à cette piscine.

IV. - La protection de l'installation contre les risques d'origine interne ou induits par son environnement

IV-1. Les risques d'origine interne

Les systèmes de sûreté qui sont situés en dehors de l'enceinte de confinement sont répartis dans des divisions conçues de telle sorte que la perte totale d'une division à la suite d'un événement interne, notamment un incendie ou une inondation, n'empêche pas que soient assurées les trois fonctions fondamentales de sûreté visées au III, en postulant une défaillance unique sur les systèmes des autres divisions en cohérence avec les règles de la démonstration de sûreté appliquée aux transitoires, incidents et accidents de référence.

IV-2. Les risques induits par l'environnement de l'installation

La conception de l'installation est telle que les défaillances d'équipements et les dommages aux structures susceptibles de résulter soit d'événements naturels, soit d'événements liés à une activité humaine externe à l'installation, soit de combinaisons vraisemblables de ces événements n'empêchent pas l'accomplissement des trois fonctions fondamentales de sûreté visées au III.

Au-delà des cas de charge retenus à la conception, les risques induits par l'environnement de l'installation ne doivent pas représenter, à la mise en service de l'installation, une part prépondérante du risque de fusion du coeur, notamment du fait de marges de dimensionnement.

L'exploitant se tient informé de tout projet entraînant une modification de l'environnement de son installation par rapport à la description du dossier joint à la demande d'autorisation de création susvisée et ayant ou pouvant avoir des conséquences sur le respect des dispositions du présent décret. Il informe l'Autorité de sûreté nucléaire et de radioprotection de ces projets dans les plus brefs délais et en précise les conséquences identifiées compte tenu des situations normales et accidentelles prévisibles.

IV-2.1. Le risque de chute accidentelle d'un aéronef

La capacité de l'installation à assurer les trois fonctions fondamentales de sûreté en cas de chute accidentelle d'aéronef est assurée soit par séparation géographique de systèmes redondants, soit par la protection physique de bâtiments contre les effets directs et indirects de l'impact résultant de la chute accidentelle d'un aéronef.

Les bâtiments pouvant contenir du combustible nucléaire, deux divisions abritant des systèmes redondants permettant d'assurer l'accomplissement des trois fonctions fondamentales de sûreté visées au III, la salle de commande principale et la station de repli du réacteur sont protégés physiquement par une paroi externe en béton armé.

Les cas de charge à retenir pour la conception de cette paroi sont définis en considérant, d'une part, le trafic de l'aviation générale et son évolution prévisible et, d'autre part, par convention, la chute accidentelle d'un avion militaire.

IV-2.2. Le séisme

L'exploitant identifie de manière exhaustive les équipements non nécessaires à l'accomplissement des fonctions fondamentales de sûreté visées au III qui, en cas de séisme jusqu'au niveau retenu pour la conception, risqueraient d'entraîner la défaillance d'équipements quant à eux nécessaires. En fonction des risques d'agression identifiés, des mesures sont prises soit pour prévenir ces risques, soit pour assurer la protection des équipements nécessaires.

Pour faire face à la possibilité d'une perte de longue durée des sources électriques externes, toutes les sources électriques de secours doivent être dimensionnées et qualifiées au niveau de séisme retenu pour la conception.

IV-3. Le risque d'indisponibilité de la salle de commande principale

Des dispositions relatives à la protection de la salle de commande principale et à son habitabilité visent à limiter autant que possible son indisponibilité du fait d'événements d'origine interne ou induits par l'environnement de l'installation.

Pour les situations où la salle de commande principale est susceptible d'être indisponible, une station de repli accessible, opérationnelle et habitable permet d'assurer :

- l'arrêt du réacteur ;

- le maintien et la surveillance des trois fonctions fondamentales de sûreté visées au III.

V. - La qualification des matériels participant à la démonstration de sûreté

La démonstration doit être apportée que les matériels installés dans l'installation respectent les exigences fonctionnelles qui leur sont affectées en relation avec leurs rôles dans la démonstration de sûreté, dans les conditions d'environnement associées aux situations pour lesquelles ils sont requis.

Bien que des dispositions soient prises pour empêcher la survenue d'une rupture circonférentielle doublement débattue d'une tuyauterie primaire principale, la qualification des équipements situés à l'intérieur de l'enceinte de confinement et participant à la démonstration de sûreté doit prendre en compte les conditions résultant d'une telle rupture.

Des dispositions d'études, d'essais, de contrôle et de maintenance sont définies et mises en oeuvre en vue d'assurer la pérennité de la qualification des matériels aux situations accidentelles.

VI. - La maîtrise de l'impact de l'exploitation de l'installation sur les populations et l'environnement

VI-1. Les prélèvements d'eau et les rejets

Toute disposition est prise dans la conception et l'exploitation de l'installation, en particulier par l'utilisation des meilleures technologies industrielles disponibles à un coût économiquement acceptable, pour limiter les prélèvements d'eau douce et l'impact des rejets sur les populations et l'environnement.

L'exploitant assure la réalisation périodique de contrôles de l'environnement.

VI-2. Les déchets

Toute disposition est prise dans la conception et l'exploitation de l'installation, en particulier par l'utilisation des meilleures technologies industrielles disponibles à un coût économiquement acceptable, pour limiter le volume et l'activité des déchets radioactifs produits.

Aucun stockage définitif de déchets radioactifs n'est autorisé à l'intérieur du périmètre délimité par le plan annexé au présent décret.

VII. - L'information technique de l'Autorité de sûreté nucléaire et de radioprotection

Une liaison fiable et sécurisée permet, dès lors que le plan d'urgence interne de l'installation est déclenché, de transmettre en continu à l'Autorité de sûreté nucléaire et de radioprotection des informations directement extraites de la supervision du contrôle-commande, concernant l'état de l'installation, la nature et le niveau des rejets éventuels dans l'environnement.

Les informations ainsi transmises doivent permettre à l'Autorité de sûreté nucléaire et de radioprotection d'établir un diagnostic de la situation nécessaire pour assurer ses missions, notamment celles d'appui aux pouvoirs publics en situation d'urgence.