ISO 7753:2023
(Main)Nuclear criticality safety — Use of criticality accident alarm systems for operations
Nuclear criticality safety — Use of criticality accident alarm systems for operations
This document provides requirements and guidance regarding the use of CAAS for operations of a nuclear facility. Requirements and guidance on CAAS design are provided in the IEC 60860. This document is applicable to operations with fissile materials outside nuclear reactors but within the boundaries of nuclear establishments. This document applies when a need for CAAS has been established. Information about the need for CAAS is given in Annex C. This document does not include details of administrative steps, which are considered to be activities of a robust management system (ISO 14943 provides details of administrative steps). Details of nuclear accident dosimetry and personnel exposure evaluations are not within the scope of this document. This document is concerned with gamma and neutron radiation rate-sensing systems. Specific detection criteria can also be met with integrating systems; systems detecting either neutron or gamma radiation can also be used. Equivalent considerations then apply.
Sûreté-criticité — Systèmes de détection et d’alarme de criticité dans le cadre de l’exploitation
Le présent document donne les exigences et les recommandations relatives à l'utilisation de SYDAC dans le cadre de l’exploitation d’une installation nucléaire. Les exigences et recommandations relatives à la conception des SYDAC sont données dans la norme IEC 60860. Le présent document s'applique aux opérations mettant en œuvre des matières fissiles à l’extérieur des réacteurs nucléaires, mais dans les limites des installations nucléaires. Le présent document s'applique lorsqu'un besoin de SYDAC a été établi. Des informations relatives au besoin de SYDAC sont données en Annexe C. Le présent document n'inclut pas les détails relatifs aux aspects administratifs, qui sont considérés comme du ressort d’un système de management rigoureux (l'ISO 14943 donne des détails relatifs à ces aspects). Les détails relatifs à la dosimétrie en cas d'accident nucléaire et aux évaluations de l'exposition du personnel ne sont pas l'objet du présent document. Le présent document est consacré aux systèmes sensibles au débit de neutrons et de rayonnements gamma. Des critères de détection spécifiques peuvent également être satisfaits avec des systèmes intégrateurs; des systèmes détectant les neutrons ou bien les rayonnements gamma peuvent aussi être utilisés. Des considérations analogues s'appliquent alors.
General Information
Relations
Buy Standard
Standards Content (Sample)
INTERNATIONAL ISO
STANDARD 7753
Second edition
2023-09
Nuclear criticality safety — Use of
criticality accident alarm systems for
operations
Sûreté-criticité — Systèmes de détection et d’alarme de criticité dans
le cadre de l’exploitation
Reference number
ISO 7753:2023(E)
© ISO 2023
---------------------- Page: 1 ----------------------
ISO 7753:2023(E)
COPYRIGHT PROTECTED DOCUMENT
© ISO 2023
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii
© ISO 2023 – All rights reserved
---------------------- Page: 2 ----------------------
ISO 7753:2023(E)
Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 General design, detection principle . 2
4.1 CAAS functions. 2
4.1.1 Main function . 2
4.1.2 Additional functions (optional) . 3
4.2 Resilience . 3
4.3 Detection criterion . 3
5 Management of unavailability .4
6 System design . 4
6.1 General . 4
6.2 Alarm. 4
6.3 Connections . 5
6.4 Failure of detectors, false alarms, detection logic . 5
6.5 Obsolescence, replacement parts . 5
6.6 Supervising . 5
7 Criteria for positioning .6
7.1 General . 6
7.2 Positioning of detectors and detection zone . 6
7.3 Alarm signal . 6
7.4 Positioning of other CAAS components . 6
8 Testing. 6
9 Personnel familiarization . 7
Annex A (informative) Elements for the definition of the minimum accident of concern .8
Annex B (informative) Principles for CAAS detectors positioning .16
Annex C (informative) Examples of CAAS need considerations .24
Bibliography .28
iii
© ISO 2023 – All rights reserved
---------------------- Page: 3 ----------------------
ISO 7753:2023(E)
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and non-governmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www.iso.org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of
any patent rights identified during the development of the document will be in the Introduction and/or
on the ISO list of patent declarations received (see www.iso.org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to
the World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT), see
www.iso.org/iso/foreword.html.
This document was prepared by Technical Committee ISO/TC 85 Nuclear energy, nuclear technologies,
and radiological protection, Subcommittee SC 5 Nuclear installations, processes and technologies.
This second edition cancels and replaces the first edition (ISO 7753:1987), which has been technically
revised.
The main changes are as follows:
— clarification of the scope and title: this standard is intended for CAAS users;
— improved differentiation with IEC 60860, intended for CAAS designers, manufacturers, providers…;
— removal of CAAS need considerations from the normative part;
— more open definition of the MAC to reflect the variety of practices and possibilities;
— more developed clauses regarding management of unavailability, reliability, positioning of CAAS
components;
— addition of a “continuum of detection” concept;
— better integration with other existing ISO standards related to criticality-safety (ISO 1709,
ISO 11320, ISO 27467, ISO 14943, ISO 16117 and ISO 21391);
— rewriting and expansion of informative Annexes A and B:
— Elements for the definition of the minimum accident of concern;
— Principles for CAAS detectors positioning;
— creation of an informative Annex C: Examples of CAAS need considerations.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www.iso.org/members.html.
iv
© ISO 2023 – All rights reserved
---------------------- Page: 4 ----------------------
ISO 7753:2023(E)
Introduction
Nuclear criticality safety programs at facilities that might use or store significant quantities and
concentrations of fissile material are primarily directed at avoiding nuclear criticality accidents.
However, the possibility of such accidents exists and the consequences can be life-threatening. Nuclear
criticality accidents are complex events that can take various forms and without warning signs. For
facilities that are judged to have potential for a nuclear criticality accident, the defense-in-depth
principle requires limiting their radiological consequences.
Criticality accident alarm systems (CAAS) provide a means to detect nuclear criticality accidents and to
trigger an alarm to prompt the evacuation to a radiologically safe location.
This detection is very specific because of the various possible neutron kinetics and radiation fields
produced by a nuclear criticality accident comprising neutrons and photons (i.e. gamma radiation) with
a broad spectrum of energies. The primary purpose of CAAS is to prompt personnel to evacuate as
soon as possible during a nuclear criticality accident, thus limiting individual and collective radiological
doses. A CAAS cannot, and is not intended to, protect personnel from radiation from a nuclear criticality
accident prior to prompt evacuation or other protective actions.
Considerations about emergency preparedness and response, including the evacuation procedure
related to nuclear criticality accidents, are addressed in ISO 11320.
This document is supplemented by three informative annexes:
— Annex A outlines elements for the definition of the minimum accident of concern (MAC);
— Annex B provides examples of application of this document for the positioning of CAAS detectors;
— Annex C looks at the factors which are considered when assessing whether a CAAS is needed or not,
through examples.
v
© ISO 2023 – All rights reserved
---------------------- Page: 5 ----------------------
INTERNATIONAL STANDARD ISO 7753:2023(E)
Nuclear criticality safety — Use of criticality accident
alarm systems for operations
1 Scope
This document provides requirements and guidance regarding the use of CAAS for operations of a
nuclear facility. Requirements and guidance on CAAS design are provided in the IEC 60860.
This document is applicable to operations with fissile materials outside nuclear reactors but within the
boundaries of nuclear establishments.
This document applies when a need for CAAS has been established. Information about the need for
CAAS is given in Annex C.
This document does not include details of administrative steps, which are considered to be activities of
a robust management system (ISO 14943 provides details of administrative steps).
Details of nuclear accident dosimetry and personnel exposure evaluations are not within the scope of
this document.
This document is concerned with gamma and neutron radiation rate-sensing systems. Specific detection
criteria can also be met with integrating systems; systems detecting either neutron or gamma radiation
can also be used. Equivalent considerations then apply.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content
constitutes requirements of this document. For dated references, only the edition cited applies. For
undated references, the latest edition of the referenced document (including any amendments) applies.
ISO 1709, Nuclear energy — Fissile materials — Principles of criticality safety in storing, handling and
processing
ISO 11320, Nuclear criticality safety — Emergency preparedness and response
IEC 60860:2014, Radiation protection instrumentation — Warning equipment for criticality accidents
3 Terms and definitions
For the purposes of this document, the terms and definitions of ISO 1709 and the following apply.
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at https:// www .electropedia .org/
1
© ISO 2023 – All rights reserved
---------------------- Page: 6 ----------------------
ISO 7753:2023(E)
3.1
criticality accident alarm system
CAAS
system dedicated to the detection of nuclear criticality accidents and to the warning of the personnel to
prompt their immediate evacuation
Note 1 to entry: A criticality accident alarm system is constituted of all components allowing it to ensure its main
function and its optional additional functions (see 4.1) if present; these components include, where applicable:
detectors, cabinet(s) (e.g. electronic processing/logic cabinet), alarm devices, device for the supervision of the
system status, monitoring device in case of alarm triggering, and interconnections, as well as the system power
supply(ies).
3.2
minimum accident of concern
MAC
“smallest” nuclear criticality accident that a criticality accident alarm system (3.1) is required to be able
to detect
Note 1 to entry: The minimum accident of concern is used to determine and verify the adequate positioning of the
CAAS detectors.
Note 2 to entry: The minimum accident of concern is usually expressed in terms of
— doses within a given time, or dose-rates at a given distance, or,
— fission yield within a given time, or fission yield rate, or,
— reactivity insertion, or,
— fission yield resulting in a given dose.
Note 3 to entry: Further information about the MAC is given in 4.3 and Annex A.
3.3
detection zone
area inside of which a nuclear criticality accident meeting the definition of the MAC would trigger the
CAAS alarm
3.4
false alarm
unintentional activation of the alarm signal in the absence of a nuclear criticality accident
Note 1 to entry: The cause of a false alarm could be a malfunction of a part or the whole of the system, as well as
the triggering due to an external cause (heat, high ambient dose, etc.) or a maintenance error.
4 General design, detection principle
4.1 CAAS functions
4.1.1 Main function
The main function of a CAAS is to provide prompt warning to personnel, in order to limit the radiological
consequences due to a nuclear criticality accident. The goal of the alarm is to prompt nearby personnel
to evacuate as soon as possible and to deter access to the zones that are to remain evacuated. Estimation
of consequences of a potential nuclear criticality accident shall be prepared before implementing the
CAAS. Guidance for such estimation is provided in ISO 27467.
This main CAAS function should be maintained as long as a presence of a CAAS provides a net benefit.
Unavailability of the main CAAS function shall be identified and managed (see Clause 5).
2
© ISO 2023 – All rights reserved
---------------------- Page: 7 ----------------------
ISO 7753:2023(E)
The alarm shall be designed to provide a prompt evacuation order to all personnel inside the boundaries
of the zones to be evacuated and to warn against access to those zones; these boundaries shall meet the
requirements of ISO 11320. The emergency arrangements for preparedness and response should be
fulfilled in accordance with ISO 11320 as appropriate.
4.1.2 Additional functions (optional)
A CAAS may provide additional functions, given its main function is not affected. These services might
be, for example,
— to provide remote monitoring of an ongoing or apparently stopped nuclear criticality accident in
order to plan the emergency response, or
— to record detectors’ signal for analysis during or after a nuclear criticality accident.
This remote monitoring and signal recording capability should be implemented outside of zones to be
evacuated.
Personnel required to operate this remote monitoring and signal recording capability shall be trained
in these tasks.
4.2 Resilience
The ability to perform the CAAS main function shall be able to withstand the high radiation emission
due to a nuclear criticality accident. The requirements of IEC 60860:2014, 6.6 shall apply for detectors
radiation resilience.
NOTE 1 Whenever possible, electronic cabinets and power supplies (Note 1 to entry 3.1) are placed outside of
areas where they might receive high radiation doses.
NOTE 2 IEC 60860 contains requirements and specifications regarding resilience of CAAS to environmental,
mechanical, and electromagnetic conditions.
If additional functions (4.1.2) are implemented, it should be ensured that repeated excursions would
not impair these features.
The CAAS shall be powered by an uninterruptible power supply, allowing continuous operation of the
system in the case of failure of external power.
The period during which the CAAS power supply is sustained should be such that, in the event of failure
of external power, the system stays in an alarm state long enough for all evacuations to be initiated
and for an access control to affected areas to be implemented. This period should also be sufficient to
ensure that a CAAS function is maintained during the instigation of alternate arrangements regarding
CAAS unavailability.
The sustaining of power supply is not required in situations of managed unavailability of the CAAS (see
Clause 5).
4.3 Detection criterion
A CAAS shall trigger its alarm for any nuclear criticality accident whose characteristic meets or exceeds
those of the MAC.
The MAC shall be justified and documented. Annex A provides elements for the definition of the MAC
and guidance that can be applied to determine it. Several MACs may be defined in a facility.
NOTE The minimum accident of concern assumed in the 1987 version of this International Standard delivers
“an absorbed neutron and gamma dose in free air of 0,2 Gy at a distance of 2 m from the reacting material within
60 s”.
3
© ISO 2023 – All rights reserved
---------------------- Page: 8 ----------------------
ISO 7753:2023(E)
Predicting the location of a nuclear criticality accident and its neutron kinetics is a difficult topic.
Considering Annex A, this difficulty can result in a residual risk of nuclear criticality accident with
characteristics not meeting the MAC. If the response to such an accident would provide a net benefit to
personnel, its detection should be considered in order to constitute a continuum of detection below the
MAC. This detection may be performed with means complementary to the CAAS, such as non-dedicated
radiation sensing equipment, which are then not CAAS. In this case, adequate accident response
procedures shall be provisioned, in accordance with ISO 11320.
5 Management of unavailability
Provision shall be made to manage conditions where an unavailability of the CAAS is identified, unless
it can be justified that there is no need for the CAAS given the particular condition.
NOTE 1 Situations where a CAAS might be unavailable include malfunction or failure (unintentional events)
as well as maintenance and testing (intentional events).
Unavailability may be managed by
— ordering an evacuation of personnel from the zones which are no longer covered, or
— applying anticipated actions that would negate the need for a CAAS for the duration of this
unavailability (shutdown of operations, cessation of transfers, emptying of the process equipment
or facility from any fissile material, etc.), or
— maintaining the main CAAS function by other means.
The main CAAS function may temporarily be obtained by the use of portable devices or ambient radiation
monitoring equipment not dedicated to nuclear criticality accidents. Any temporary substitution shall
be evaluated to be able to perform as an adequate alternative to the existing permanent CAAS. In this
case, any performance shortfalls of the temporary system against the existing permanent CAAS should
be justified with regards of the unavailability duration.
NOTE 2 IEC 60860:2014 4.5 requires the failure of important CAAS components, including detectors, to be
revealed by visual and/or audible indication.
6 System design
6.1 General
This clause presents system design requirements as derived from the scope of this document, aimed at
CAAS users.
A CAAS is usually constituted of several components forming a whole. These components shall be
protected from failure by design, to ensure the system responds as intended.
Any unavailability or failure should be managed according to Clause 5.
IEC 60860 details additional requirements and specifications aimed at CAAS manufacturers, including
electronics, detectors and alarm.
A redundancy of components may be implemented in order to ensure continued operation of the CAAS.
The CAAS design should be reviewed as changes to the facility or operating conditions warrant.
6.2 Alarm
The CAAS shall trigger a prompt evacuation alarm inside the zones to be evacuated; this alarm shall
also warn against re-entry to these zones.
4
© ISO 2023 – All rights reserved
---------------------- Page: 9 ----------------------
ISO 7753:2023(E)
The CAAS alarm shall primarily be an audible warning. Visual signals or other alarm means shall be
considered to supplement the sound signal to ensure a prompt response of personnel in circumstances
where a sound signal would be ineffective (high background noise level, hearing protections, outside
building, etc.).
The CAAS’ alarm signal shall be specific, so as to be distinct from other signals or alarms, which
requires a response different from that necessary in the event of a nuclear criticality accident.
The alarm shall be automatically and promptly actuated upon detection of a nuclear criticality accident
with characteristics meeting the MAC (IEC 60860:2014, 6.3). After actuation, the alarm shall be
maintained even if radiation level falls below the triggering threshold. The minimum alarm duration
shall be assessed to ensure that personnel, in the whole area to be evacuated, perceives the alarm and
initiates evacuation. This duration should be documented in the emergency procedures. Manual resets
should be provided outside the zones to be evacuated. Manual resets shall have limited access.
6.3 Connections
If several components of a CAAS are connected through a link, it should be ensured that this link is
protected from disruption, failure, or interference, for the system to maintain its function in situations
where the CAAS function is needed.
CAAS detectors and their connections should be implemented and maintained ensuring the
minimization of common-mode failure causes.
6.4 Failure of detectors, false alarms, detection logic
Occurrence of false alarms shall be minimized, as hazards associated with prompt evacuation can
be significant (injuries during evacuation, non-securing of processes, loss of containment, physical
security breaches, etc.) and the frequency of false criticality alarms can eventually lead personnel to
become complacent to prompt evacuation, and thus to an ineffective or incomplete evacuation.
Reduction of false alarms may be achieved by requiring several detectors to coincidentally detect
the nuclear criticality accident in order to trigger the alarm (e.g. a 2/n logic, where n is the number of
detectors assigned to the surveillance of a given zone), or by adjusting the trigger threshold or position
of the detectors according to the radiological level in the facility without prejudice to the detection of
the MAC.
6.5 Obsolescence, replacement parts
The availability for replacement of any CAAS components should be considered to define the life cycle of
installed systems. Components different from the original ones may be used, but the modified system
shall meet the requirements of this document.
6.6 Supervising
The system status shall be supervised to ensure its ability to detect a nuclear criticality accident.
Personnel who are required to interrogate the status of the system shall be trained for this task.
The provision of a remote system status supervisory station, outside of the zones needing to be
evacuated, should be considered.
NOTE 1 This system status supervision capability is distinct from the optional monitoring capability cited in
4.1.
NOTE 2 During an emergency response, information gathered by remote supervision can also help to safely
assess the situation, such as confirming the occurrence or termination of a nuclear criticality accident.
5
© ISO 2023 – All rights reserved
---------------------- Page: 10 ----------------------
ISO 7753:2023(E)
7 Criteria for positioning
7.1 General
The positioning of the different components of a CAAS is an important step of the implementation of a
CAAS. There exist different requirements for each component, detailed thereafter.
7.2 Positioning of detectors and detection zone
Annex B provides principles for the positioning of CAAS detectors. The detection zone is mainly
determined by the positioning of CAAS detectors. Attenuation brought by building elements and
shielding shall be taken into account. Attenuation brought by equipment should be considered.
It shall be justified and documented that all locations where CAAS surveillance is needed are included
in a detection zone.
The potential failure of detectors should be considered when determining the detection zone.
In placing the minimum required detectors to cover the zone where CAAS surveillance is needed, their
placement may be optimized to extend the detection zone.
NOTE 1 Such an extension of the detection zone is supported by the feedback from past accidents which shows
that a nuclear criticality accident can occur in an unexpected location.
NOTE 2 Such an extension of the detection zone also allows covering zones where future activities of the
facility might stand.
NOTE 3 Adequate positioning of detectors relative to each other helps ensure that during in situ radioactive
source tests, only one detector is triggered at a time.
7.3 Alarm signal
The CAAS alarm devices shall be positioned so that they can be clearly perceived at all points of the
evacuation zone, and in order to deter access to these zones once an evacuation has been initiated.
NOTE IEC 60860 and EN 50849 give additional information regarding sound levels required for sound
systems for emergency purposes.
7.4 Positioning of other CAAS components
CAAS components should be positioned to be able to maintain the main CAAS function in the event of
a nuclear criticality accident, taking into account limitations due to their design characteristics. The
radiation levels can be determined using the principles in Annex B.
If the design of any CAAS component cannot guarantee the main CAAS function would be ensured in
case of a nuclear criticality accident, this component shall be protected against high radiation emissions.
8 Testing
The main CAAS function (whole system) shall be tested at commissioning and periodically; adequate
frequencies of these periodic tests shall be justified and documented, in accordance with the stipulations
of the manufacturer.
Instrument response to radiation shall be checked at commissioning and periodically to confirm
continuing instrument performance. In a system having redundant channels, the performance of each
channel shall be monitored. The test interval may be determined on the basis of experience; adequate
frequencies of these tests shall be justified and documented; for facilities having a large number of
detectors, a
...
NORME ISO
INTERNATIONALE 7753
Deuxième édition
2023-09
Sûreté-criticité — Systèmes de
détection et d’alarme de criticité dans
le cadre de l’exploitation
Nuclear criticality safety — Use of criticality accident alarm systems
for operations
Numéro de référence
ISO 7753:2023(F)
© ISO 2023
---------------------- Page: 1 ----------------------
ISO 7753:2023(F)
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2023
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii
© ISO 2023 – Tous droits réservés
---------------------- Page: 2 ----------------------
ISO 7753:2023(F)
Sommaire Page
Avant-propos .iv
Introduction . vi
1 Domaine d'application .1
2 Références normatives .1
3 Termes et définitions . 1
4 Conception générale, principe de détection . 2
4.1 Fonctions d'un SYDAC . 2
4.1.1 Fonction principale . 2
4.1.2 Fonctions supplémentaires (optionnelles) . 3
4.2 Résistance . 3
4.3 Critère de détection . 3
5 Gestion de l'indisponibilité .4
6 Conception du système . 4
6.1 Généralités . 4
6.2 Alarme . 5
6.3 Raccordements . 5
6.4 Défaillance des détecteurs, fausses alarmes, logique de détection . 5
6.5 Obsolescence, pièces de rechange . 5
6.6 Supervision . 6
7 Critères de positionnement . 6
7.1 Généralités . 6
7.2 Positionnement des détecteurs et zone de détection. 6
7.3 Signal d'alarme . 6
7.4 Positionnement des autres composants du SYDAC . 6
8 Essais . 7
9 Sensibilisation du personnel . 8
Annexe A (informative) Éléments pour la définition de l'accident minimal de référence .9
Annexe B (informative) Principes de positionnement des détecteurs du SYDAC .17
Annexe C (informative) Exemples de considérations relatives à la détermination du besoin
d’un SYDAC .25
Bibliographie .29
iii
© ISO 2023 – Tous droits réservés
---------------------- Page: 3 ----------------------
ISO 7753:2023(F)
Avant-propos
L'ISO (Organisation internationale de normalisation) est une fédération mondiale d'organismes
nationaux de normalisation (comités membres de l'ISO). L'élaboration des Normes internationales est
en général confiée aux comités techniques de l'ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l'ISO participent également aux travaux.
L'ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document
a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant
les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations de
brevets reçues par l'ISO (voir www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l'intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l'Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir le lien suivant: www.iso.org/iso/fr/avant-propos.
Le présent document a été élaboré par le comité technique ISO/TC 85, Énergie nucléaire, technologies
nucléaires, et radioprotection, sous-comité SC 5, Installations nucléaires, procédés et technologies.
Cette deuxième édition annule et remplace la première édition (ISO 7753:1987), qui a fait l'objet d'une
révision technique.
Les principales modifications sont les suivantes:
— clarification du domaine d’application et du titre: cette norme est destinée aux utilisateurs de
SYDAC;
— clarification de la délimitation avec la norme IEC 60860, destinée entre autres aux concepteurs,
fabricants et fournisseurs de SYDAC;
— retrait des considérations liées à l’évaluation du besoin de SYDAC de la partie normative;
— définition plus ouverte de l’AMR pour refléter la diversité des pratiques et des possibilités;
— articles plus développés concernant la gestion de l’indisponibilité, de la fiabilité et du positionnement
des composants du SYDAC;
— ajout de la notion de «continuum de détection»;
— meilleure intégration avec les autres normes ISO liées à la sûreté-criticité (1709, 11320, 27467,
14943, 16117 et 21391);
— réécriture et approfondissement de deux annexes informatives Annexes A et B:
— Éléments pour la définition de l'accident minimal de référence;
iv
© ISO 2023 – Tous droits réservés
---------------------- Page: 4 ----------------------
ISO 7753:2023(F)
— Principes de positionnement des détecteurs du SYDAC;
— création d’une Annexe C informative: Exemples de considérations relatives à la détermination du
besoin d’un SYDAC.
— Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le
présent document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits
organismes se trouve à l'adresse https://www.iso.org/fr/members.html.
v
© ISO 2023 – Tous droits réservés
---------------------- Page: 5 ----------------------
ISO 7753:2023(F)
Introduction
Dans les installations nucléaires susceptibles de mettre en œuvre ou d’entreposer des quantités
et des concentrations significatives de matières fissiles, les programmes de sûreté-criticité ont
principalement pour but de prévenir tout accident de criticité. Cependant, la possibilité que surviennent
de tels accidents existe et leurs conséquences peuvent être fatales. Les accidents de criticité sont des
événements complexes qui peuvent revêtir différentes formes et se produire sans signe précurseur.
Dans les installations pour lesquelles il est estimé qu’il existe un risque plausible d’accident de criticité,
le principe de défense en profondeur requiert d'en limiter les conséquences radiologiques.
Les systèmes de détection et d’alarme de criticité (SYDAC) constituent un moyen de détecter les
accidents de criticité et de déclencher une alarme d'évacuation rapide vers un lieu radiologiquement
sûr.
Ce type de détection est très spécifique en raison de la variété des cinétiques neutroniques possibles
ainsi que des champs de rayonnements que peut produire un accident de criticité, comprenant des
neutrons et des photons (rayonnements gamma) et dont les spectres sont étendus sur une large gamme
d'énergies. Le principal objectif d'un SYDAC est de permettre au personnel d’évacuer le plus rapidement
possible en cas d'accident de criticité, afin de limiter les doses radiologiques individuelles et collectives.
Un SYDAC ne peut pas — et n'a pas vocation à — protéger le personnel des rayonnements issus d'un
accident de criticité avant l'évacuation rapide ou la mise en œuvre d'autres mesures de protection.
Les considérations relatives à la préparation des interventions et aux interventions d'urgence, y compris
la procédure d'évacuation relative aux accidents de criticité, sont traitées dans l’ISO 11320.
Le présent document est complété par trois annexes informatives:
— l'Annexe A expose des éléments pour la définition d’un accident minimal de référence (AMR);
— l'Annexe B donne des exemples d'application du présent document pour le positionnement des
détecteurs du SYDAC;
— l'Annexe C se penche, à l'aide d'exemples, sur les facteurs à prendre en compte lors de l'évaluation du
besoin ou non de SYDAC.
vi
© ISO 2023 – Tous droits réservés
---------------------- Page: 6 ----------------------
NORME INTERNATIONALE ISO 7753:2023(F)
Sûreté-criticité — Systèmes de détection et d’alarme de
criticité dans le cadre de l’exploitation
1 Domaine d'application
Le présent document donne les exigences et les recommandations relatives à l'utilisation de SYDAC
dans le cadre de l’exploitation d’une installation nucléaire. Les exigences et recommandations relatives
à la conception des SYDAC sont données dans la norme IEC 60860.
Le présent document s'applique aux opérations mettant en œuvre des matières fissiles à l’extérieur des
réacteurs nucléaires, mais dans les limites des installations nucléaires.
Le présent document s'applique lorsqu'un besoin de SYDAC a été établi. Des informations relatives au
besoin de SYDAC sont données en Annexe C.
Le présent document n'inclut pas les détails relatifs aux aspects administratifs, qui sont considérés
comme du ressort d’un système de management rigoureux (l'ISO 14943 donne des détails relatifs à ces
aspects).
Les détails relatifs à la dosimétrie en cas d'accident nucléaire et aux évaluations de l'exposition du
personnel ne sont pas l'objet du présent document.
Le présent document est consacré aux systèmes sensibles au débit de neutrons et de rayonnements
gamma. Des critères de détection spécifiques peuvent également être satisfaits avec des systèmes
intégrateurs; des systèmes détectant les neutrons ou bien les rayonnements gamma peuvent aussi être
utilisés. Des considérations analogues s'appliquent alors.
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
ISO 1709, Énergie nucléaire — Matières fissiles — Principes de sûreté-criticité lors des opérations
d’entreposage, de manutention et de mise en oeuvre du procédé
ISO 11320, Sûreté-criticité — Préparation des interventions et intervention d’urgence
IEC 60860:2014, Instrumentation pour la radioprotection — Équipement de signalisation des accidents de
criticité
3 Termes et définitions
Pour les besoins du présent document, les termes et les définitions de l'ISO 1709 ainsi que les suivants
s'appliquent.
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse https:// www .electropedia .org/
1
© ISO 2023 – Tous droits réservés
---------------------- Page: 7 ----------------------
ISO 7753:2023(F)
3.1
système de détection et d’alarme de criticité
SYDAC
système dédié à la détection des accidents de criticité et à l'avertissement du personnel afin de
provoquer leur évacuation immédiate
Note 1 à l'article: Un système de détection et d’alarme de criticité comprend tous les composants lui permettant
d'assurer sa fonction principale ainsi que ses éventuelles fonctions optionnelles supplémentaires (voir 4.1);
ces composants comprennent, le cas échéant: des détecteurs, un ou plusieurs coffrets (par exemple, armoire
électronique de traitement/logique), des dispositifs d'alarme, un dispositif de supervision de l’état du système,
un dispositif de surveillance en cas de déclenchement de l’alarme, des interconnexions, et la ou les alimentations
du système.
3.2
accident minimal de référence
AMR
«plus petit» accident de criticité qu'un système de détection et d’alarme de criticité (3.1) doit être capable
de détecter
Note 1 à l'article: L'accident minimal de référence sert à déterminer et à vérifier le positionnement adapté des
détecteurs du SYDAC.
Note 2 à l'article: L'accident minimal de référence est généralement exprimé en termes de:
— doses sur une durée donnée, ou débits de dose à une distance donnée; ou bien
— nombre de fissions sur une durée donnée, ou taux de fission; ou bien
— insertion de réactivité; ou bien
— nombre de fissions correspondant à une dose donnée.
Note 3 à l'article: De plus amples informations sur l’AMR sont données en 4.3 et à l'Annexe A.
3.3
zone de détection
zone à l’intérieur de laquelle un accident de criticité répondant aux critères de définition d'un AMR
déclencherait une alarme du SYDAC
3.4
fausse alarme
déclenchement involontaire du signal d'alarme en l'absence d'accident de criticité
Note 1 à l'article: La cause d'une fausse alarme pourrait être un dysfonctionnement d'une partie ou de l'ensemble
du système, ou bien un déclenchement dû à une cause externe (chaleur, débit de dose ambiant élevé, etc.), ou une
erreur de maintenance.
4 Conception générale, principe de détection
4.1 Fonctions d'un SYDAC
4.1.1 Fonction principale
La fonction principale d'un SYDAC consiste à transmettre un avertissement rapide au personnel afin
de limiter les conséquences radiologiques d’un accident de criticité. L'objectif de l'alarme est d'avertir
rapidement le personnel à proximité pour qu'il évacue aussi vite que possible et de le dissuader
d’accéder aux zones à maintenir évacuées. Les conséquences d'un éventuel accident de criticité doivent
être estimées préalablement à la mise en œuvre d’un SYDAC. L'ISO 27467 fournit des recommandations
pour réaliser cette estimation.
2
© ISO 2023 – Tous droits réservés
---------------------- Page: 8 ----------------------
ISO 7753:2023(F)
Il convient de préserver cette fonction principale du SYDAC aussi longtemps que la présence du SYDAC
procure un bénéfice net. L'indisponibilité de la fonction principale du SYDAC doit être identifiée et prise
en compte (voir l’Article 5).
L'alarme doit être conçue pour donner un ordre d'évacuation rapide à l'ensemble du personnel se
trouvant à l'intérieur des zones à évacuer et pour signaler l’interdiction d'accès à ces zones; les limites
de ces zones doivent respecter les exigences de l'ISO 11320. Il convient que les dispositions en matière
de préparation et d'intervention d'urgence soient mises en œuvre conformément à l'ISO 11320 le cas
échéant.
4.1.2 Fonctions supplémentaires (optionnelles)
Un SYDAC peut assurer des fonctions supplémentaires, dès lors que sa fonction principale n'est pas
affectée. Il peut s'agir, par exemple
— d’assurer une surveillance à distance d'un accident de criticité en cours ou apparemment terminé,
afin de planifier l'intervention d'urgence, ou bien
— d’enregistrer les signaux émis par les détecteurs afin de les analyser pendant ou après un accident
de criticité.
Il convient de mettre en œuvre cette capacité de surveillance à distance et d’enregistrement des signaux
à l’extérieur des zones à évacuer.
Les membres du personnel amenés à exploiter cette capacité de surveillance à distance et
d’enregistrement des signaux doivent être formés à ces tâches.
4.2 Résistance
La capacité du SYDAC à réaliser sa fonction principale doit pouvoir résister au niveau de rayonnements
élevé dû à un accident de criticité. Les exigences de l'IEC 60860:2014, 6.6, s'appliquent pour la résistance
des détecteurs aux rayonnements.
NOTE 1 Lorsque cela est possible, les coffrets et les alimentations (voir la Note 1 à l’Article en 3.1) sont placés
en dehors des zones où ils peuvent recevoir des niveaux de rayonnements élevés.
NOTE 2 L'IEC 60860 expose les exigences et les spécifications relatives à la résistance des SYDAC aux
conditions environnementales, mécaniques et électromagnétiques.
Si des fonctions supplémentaires (voir 4.1.2) sont mises en œuvre, il convient de s'assurer que des
excursions critiques répétées ne les altèreront pas.
Le SYDAC doit être alimenté par une alimentation sans interruption, permettant une exploitation
continue du système en cas de défaillance de l'alimentation extérieure.
Il convient que la durée de maintien de l'alimentation du SYDAC soit telle que, en cas de défaillance
de l'alimentation externe, le système reste en état d'alarme suffisamment longtemps pour permettre
d'initier l'évacuation et de mettre en œuvre un contrôle des accès aux zones concernées. Il convient que
cette durée soit également suffisante pour garantir que la fonction du SYDAC est maintenue pendant la
mise en place de dispositions compensatoires relatives à l'indisponibilité du SYDAC.
Le maintien de l’alimentation n’est pas requis dans les situations d’indisponibilité gérées du SYDAC
(voir l’Article 5).
4.3 Critère de détection
Un SYDAC doit déclencher une alarme en cas d'accident de criticité dont les caractéristiques sont au
minimum celles de l’AMR.
3
© ISO 2023 – Tous droits réservés
---------------------- Page: 9 ----------------------
ISO 7753:2023(F)
L’AMR doit être justifié et documenté. L'Annexe A fournit des éléments pour la définition de l’AMR, ainsi
que des recommandations qui peuvent servir à le déterminer. Plusieurs AMR peuvent être définis au
sein d'une installation.
NOTE L'accident minimal de référence postulé dans la version de 1987 de la présente Norme internationale
correspond à «une dose absorbée de neutrons et de rayons gamma dans l'air libre de 0,2 Gy à une distance de 2 m du
matériau en réaction et pendant 60 s».
Il est difficile de prédire l'emplacement d'un accident de criticité et sa cinétique neutronique. Si l’on
se réfère à l'Annexe A, cette difficulté peut entraîner un risque résiduel d'accident de criticité ayant
des caractéristiques non couvertes par celles de l’AMR. Si la réponse à un tel accident apporte un
bénéfice net au personnel, il convient de prendre en compte sa détection afin de mettre en place une
continuité de la détection («continuum de détection») en dessous de l’AMR. Il est admis de réaliser cette
détection en utilisant des moyens complémentaires au SYDAC, tels que des équipements de détection
des rayonnements non dédiés, qui ne sont donc pas des SYDAC. Dans ce cas, des procédures adéquates
de réponse doivent être fournies, conformément à l'ISO 11320.
5 Gestion de l'indisponibilité
Des mesures doivent être prises pour gérer les conditions dans lesquelles l'indisponibilité du SYDAC
est identifiée, sauf s'il est possible de justifier qu'aucun besoin de SYDAC n'existe dans ces conditions
particulières.
NOTE 1 Les situations dans lesquelles un SYDAC peut être indisponible comprennent les dysfonctionnements
ou les défaillances (événements involontaires) ainsi que la maintenance et les essais (événements volontaires).
L'indisponibilité peut être gérée par
— le fait d'ordonner l'évacuation du personnel des zones qui ne sont plus surveillées, ou bien
— l'application de mesures anticipées qui annuleraient le besoin de SYDAC pour la durée de cette
indisponibilité (arrêt des opérations, arrêt des transferts, évacuation des matières fissiles présentes
dans les équipements de procédé ou dans l'installation, etc.), ou bien
— le maintien de la fonction principale du SYDAC par un autre moyen.
La fonction principale du SYDAC peut être provisoirement assurée par des dispositifs portables ou des
équipements de surveillance des rayonnements ambiants non dédiés aux accidents de criticité. Toute
substitution provisoire du SYDAC doit être évaluée afin de disposer d'un système de remplacement
adéquat. Dans ce cas, il convient de justifier, en fonction de la durée de l'indisponibilité, toute
insuffisance de performances du système de remplacement par rapport au SYDAC permanent existant.
NOTE 2 L'IEC 60860:2014, 4.5, requiert que les défaillances des composants importants du SYDAC, notamment
des détecteurs, soient signalées par un signal visuel et/ou sonore.
6 Conception du système
6.1 Généralités
Le présent article présente les exigences de conception du système à destination des utilisateurs de
SYDAC, déduites du domaine d’application du présent document.
Un SYDAC est généralement constitué de plusieurs composants formant un ensemble. La conception
de ces composants doit permettre de les protéger de toute défaillance, afin d’assurer que le système
réagisse comme prévu.
Il convient de gérer toute indisponibilité ou défaillance conformément à l’Article 5.
L'IEC 60860 détaille des exigences et des spécifications supplémentaires destinées aux fabricants de
SYDAC, concernant notamment l'électronique, les détecteurs et l'alarme.
4
© ISO 2023 – Tous droits réservés
---------------------- Page: 10 ----------------------
ISO 7753:2023(F)
Une redondance des composants peut être mise en œuvre afin de garantir la continuité du
fonctionnement du SYDAC.
Il convient que la conception du SYDAC soit réévaluée dès que des changements apportés à l'installation
ou aux conditions d'exploitation le justifient.
6.2 Alarme
Le SYDAC doit déclencher une alarme d'évacuation rapide à l'intérieur des zones à évacuer; cette alarme
doit également signaler l’interdiction d’accès à ces zones.
L'alarme du SYDAC doit en premier lieu être constituée d'un signal sonore. Des signaux visuels ou autres
types d'alarme doivent être envisagés en plus du signal sonore afin de garantir une réponse rapide du
personnel dans les cas où le signal sonore serait insuffisant (niveau du bruit de fond sonore élevé, port
de protection antibruit, extérieur du bâtiment, etc.).
Le signal d’alarme du SYDAC doit être spécifique, de manière à être distinct des autres signaux ou
alarmes qui requièrent une réponse différente de celle qui est nécessaire en cas d'accident de criticité.
L'alarme doit être activée automatiquement et rapidement en cas de détection d'un accident de criticité
de caractéristiques couvertes par celles de l’AMR (IEC 60860:2014, 6.3). Après activation, l'alarme
doit être maintenue même si le niveau des rayonnements chute en dessous du seuil de détection. La
durée minimale de l'alarme doit être évaluée afin de garantir que le personnel de l'ensemble de la
zone à évacuer perçoive l'alarme et initie l'évacuation. Il convient de documenter cette durée dans les
procédures d'urgence. Il convient que l’acquittement manuel de l’alarme soit réalisable à l'extérieur des
zones à évacuer. L’accès à l’acquittement manuel de l’alarme doit être limité.
6.3 Raccordements
Si plusieurs composants d'un SYDAC sont raccordés via une liaison, il convient de garantir que cette
liaison est protégée des déconnexions, des défaillances et des interférences, afin que le système puisse
maintenir sa fonction dans les situations où cette fonction est nécessaire.
Il convient que les détecteurs des SYDAC et leurs connexions soient mis en œuvre et maintenus de façon
à réduire au minimum les causes de défaillances de mode commun.
6.4 Défaillance des détecteurs, fausses alarmes, logique de détection
L'occurrence de fausses alarmes doit être réduite au minimum, car les risques associés à une évacuation
rapide peuvent être importants (blessures pendant l'évacuation, absence de sécurisation des procédés,
perte de confinement, violations de la sécurité physique, etc.) et la fréquence des fausses alarmes de
criticité peut à terme entraîner une accoutumance du personnel à ne pas évacuer, et mener in fine à une
évacuation inefficace ou incomplète.
Afin de réduire le risque de fausses alarmes, il est permis de conditionner le déclenchement de l’alarme
au dépassement concomitant du seuil de déclenchement de plusieurs détecteurs (par exemple une
logique en 2/n, où n est le nombre de détecteurs affectés à la surveillance d'une même zone), ou bien
d’ajuster le seuil de déclenchement ou la position des détecteurs en fonction du niveau de rayonnement
dans l'installation, sans porter préjudice à la détection de l'AMR.
6.5 Obsolescence, pièces de rechange
Il convient de prendre en compte la disponibilité des pièces de rechange pour tout composant du SYDAC
afin de planifier le cycle de vie des systèmes installés. Des composants différents des composants
d'origine peuvent être utilisés, mais le système modifié doit continuer de satisfaire aux exigences du
présent document.
5
© ISO 2023 – Tous droits réservés
---------------------- Page: 11 ----------------------
ISO 7753:2023(F)
6.6 Supervision
L’état du système doit être supervisé afin de contrôler sa capacité à détecter un accident de criticité.
Le personnel cha
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.