8. Contrôle-commande et système de protection
      Le coeur et les circuits de refroidissement du réacteur seront conçus de     façon à permettre un fonctionnement stable du réacteur et à assurer, en     fonctionnement normal, une contre-réaction nucléaire intrinsèque en cas     d'augmentation de réactivité ou de déséquilibre entre la production de     chaleur et son évacuation.
      Le contrôle-commande comportera des systèmes de régulation permettant de     maintenir le réacteur dans sa plage normale de fonctionnement, un système de     protection pouvant agir en particulier sur des systèmes de sauvegarde     permettant d'éviter ou de réduire les conséquences des incidents ou accidents     pouvant affecter l'installation, et des systèmes d'arrêt du réacteur,
     comprenant deux systèmes d'arrêt principaux et un système d'arrêt     complémentaire capable d'arrêter le réacteur même en cas de déformation     importante de celui-ci; la présence du système d'arrêt complémentaire ne     nuira pas à l'indépendance des systèmes d'arrêt principaux.
      La séparation entre les systèmes de régulation et de protection sera telle     que le fonctionnement des mécanismes de protection ne soit pas perturbé dans     l'éventualité d'une défaillance ou d'une mise hors service soit d'un     composant unique, soit d'une chaîne du système de régulation ou de la partie     commune aux systèmes de régulation et de protection. Le système de protection     sera conçu avec une indépendance et une redondance suffisantes pour présenter     une fiabilité et une possibilité d'essai en exploitation adaptées aux     fonctions de sécurité à assurer.
      Les modalités de déplacement des barres de commande seront déterminées de     telle sorte que leur manoeuvre accidentelle par suite d'erreur d'opérateur ou     d'avarie d'automate ne provoque pas d'excursion de puissance non maîtrisée     par les systèmes de protection et d'arrêt.
      Des dispositions de construction seront prises pour éviter l'éjection     accidentelle d'une barre de commande hors du coeur; en tout état de cause, la     réactivité qui pourrait résulter d'un tel accident sera limitée de manière à     éviter un endommagement grave du combustible.
      La mesure du flux neutronique permettra de suivre la puissance du réacteur     depuis le niveau résultant de la multiplication sous-critique, au niveau <<     sources >>, jusqu'au-delà de la puissance nominale, avec un recouvrement     suffisant des gammes des chaînes de mesures.
      Les conditions de fonctionnement et l'état des éléments combustibles seront     surveillés par des mesures de l'activité du sodium et des mesures     individuelles de la température du sodium sortant de chaque élément     combustible; les ruptures de gaines éventuelles pourront être localisées: les     mesures et les dispositions associées seront telles qu'une variation     importante des conditions de fonctionnement ou de l'état des gaines d'un     élément combustible entraîne l'arrêt automatique du réacteur avec un temps de     réponse suffisamment court pour éviter toute extension grave du défaut.
      Lorsque, compte tenu de la complexité du phénomène que l'on veut contrôler,     des calculateurs seront utilisés pour l'élaboration de certaines actions de     sécurité, ils répondront aux exigences précédemment indiquées pour le système     de protection et auront exclusivement une fonction de sécurité; il sera par     ailleurs tenu compte de leur indisponibilité éventuelle.
      Toutes les parties constitutives des systèmes de protection et d'arrêt     pourront supporter des conditions physiques au moins aussi contraignantes que     celles qui seraient engendrées par les circonstances accidentelles     plausibles, sans qu'il puisse en résulter la paralysie des actions de     sécurité nécessaires dans ces circonstances.
      Une salle de commande sera prévue d'où l'on pourra assurer le fonctionnement     du réacteur sans risque dans les conditions normales et son maintien dans un     état sûr en cas d'accident plausible; une protection appropriée contre     l'irradiation et la contamination sera mise en place.
      Des équipements permettant d'amener, de maintenir et de surveiller     l'installation en état d'arrêt sûr seront prévus à des emplacements     extérieurs à la salle de commande. Ces équipements feront l'objet d'essais     périodiques. En cas d'incident pouvant conduire à l'évacuation de la salle de     commande, les moyens de conduite normaux resteront disponibles, sans     modifications notables de leurs performances, pendant un laps de temps     suffisant pour que puissent être réalisées les opérations nécessaires pour     l'utilisation des équipements précités; un tel incident n'aura pas de     conséquences sur l'efficacité et la fiabilité de ces équipements.