Ordonnance
sur l’énergie nucléaire
(OENu)

¹ Les prin­cipes ci-après, en par­ticuli­er, s’ap­pli­quent aux cent­rales nuc­léaires:

a.

les fonc­tions de sé­cur­ité doivent réa­gir même s’il se produit une er­reur isolée quel­conque, in­dépen­dam­ment de l’événe­ment déclench­eur, et même si un com­posant n’est pas dispon­ible pour des rais­ons de main­ten­ance; est réputée er­reur isolée la dé­fail­lance for­tu­ite d’un com­posant qui l’em­pêche d’ex­er­cer sa fonc­tion de sé­cur­ité; les er­reurs dé­coulant de cette dé­fail­lance for­tu­ite sont con­sidérées comme fais­ant partie de l’er­reur isolée;

b.

les fonc­tions de sé­cur­ité doivent autant que pos­sible ré­pon­dre aux prin­cipes de la re­dond­ance et de la di­versité; la re­dond­ance est la présence d’un plus grand nombre d’équipe­ments fonc­tion­nels qu’il n’en faut pour ex­er­cer la fonc­tion de sé­cur­ité prévue; la di­versité est le re­cours à des prin­cipes physiques ou tech­niques différents;

c.

les cir­cuits re­dond­ants des­tinés à re­m­p­lir une fonc­tion de sé­cur­ité doivent autant que pos­sible fonc­tion­ner in­dépen­dam­ment les uns des autres, et cela aus­si bi­en au plan des sys­tèmes méca­niques que des sys­tèmes de sou­tien tels que le con­trôle-com­mande ou l’ap­pro­vi­sion­nement en én­er­gie, le re­froid­isse­ment et la vent­il­a­tion;

d.

les cir­cuits re­dond­ants des­tinés à re­m­p­lir une fonc­tion de sé­cur­ité doivent autant que pos­sible être sé­parés les uns des autres dans l’es­pace;

e.

les cir­cuits re­dond­ants des­tinés à re­m­p­lir une fonc­tion de sé­cur­ité doivent autant que pos­sible pouvoir être véri­fiés de man­ière in­té­grale ou à dé­faut, par seg­ments aus­si im­port­ants que pos­sible, tant par déclen­che­ment manuel qu’au moy­en de l’in­cit­a­tion auto­matique sim­ulée, y com­pris sous ré­gime d’al­i­ment­a­tion de secours en élec­tri­cité;

f.

les fonc­tions de sé­cur­ité doivent être auto­mat­isées de sorte qu’en cas de dé­fail­lance au sens de l’art. 8, le per­son­nel ne soit pas ob­ligé d’in­ter­venir pour as­surer la sé­cur­ité dans les 30 minutes qui suivent l’événe­ment déclench­eur;

g.

en di­men­sion­nant les sys­tèmes et les com­posants, on doit pré­voir des marges de sé­cur­ité suf­f­is­antes;

h.

on doit faire autant que pos­sible en sorte que le com­porte­ment du sys­tème soit axé sur la sé­cur­ité en cas de dys­fonc­tion­nement d’un équipe­ment;

i.

entre les fonc­tions de sé­cur­ité pass­ives et act­ives, il faut préférer les premières;

j.

on doit tenir compte des ca­pa­cités hu­maines et de leurs lim­ites en con­cevant et en amén­a­geant les places de trav­ail et le déroul­e­ment des opéra­tions de con­duite et de main­ten­ance de l’in­stall­a­tion;

k.

à gain égal en ter­mes de sé­cur­ité, il faut préférer les mesur­es visées à l’art. 7, let. d, qui sont pro­pres à em­pêch­er les dé­fail­lances à celles qui seraient de nature à en at­ténuer les con­séquences.

² L’IF­SN est char­gée de ré­gler dans des dir­ect­ives les prin­cipes de la con­cep­tion et qui sont spé­ci­fiques aux réac­teurs à eau légère.¹⁰