Soutenance mémoire
Le nucléaire
Un système « ultra sûr »
Les installations nucléaires font partie des systèmes dits « ultra-sûrs ». Dans ces systèmes se trouvent aussi l’aviation civile, la chimie ou encore l’anesthésie. Les systèmes ultra-sûrs peuvent être considérés comme de véritables prouesses techniques, organisationnelles, humaines. « Ce sont les plus compliqués que l’homme ait jamais construits, ce sont aussi les plus sûrs et les plus performants » (Amalberti, 2007 p75).
Une industrie surveillée
L’industrie nucléaire est extrêmement réglementée et surveillée, notamment par des organismes nationaux et internationaux :
• L’autorité de sûreté nucléaire (ASN) assure, au nom de l’État, le contrôle de la sûreté nucléaire et de la radioprotection en France pour protéger les travailleurs, les patients, le public et l’environnement des risques liés à l’utilisation du nucléaire.
• L’institut de radioprotection et de sûreté nucléaire (IRSN) conduit et met en œuvre des programmes de recherche afin d’asseoir sa capacité d’expertise publique sur les connaissances scientifiques les plus avancées dans les domaines des risques nucléaires et radiologiques, tant à l’échelle nationale qu’internationale. L’IRSN constitue un soutien technique de l’ASN.
• L’agence internationale de l’énergie atomique (AIEA) a pour mission de promouvoir l’utilisation sûre des installations nucléaires à des fins pacifiques.
L’industrie nucléaire est aussi surveillée attentivement par l’opinion publique. Au cours des cinquante dernières années, l’utilisation de l’énergie nucléaire pour produire de l’électricité a fait régulièrement l’objet de controverses (Lauvergeon & Barré, 2009 ; Jancovici, 2003). L’accident nucléaire très récent de Fukushima a relancé une polémique entraînant une montée de l’opposition à l’énergie nucléaire dans l’espace publique (Fassert, 2012). L’accident de Fukushima rappelle que le nucléaire est une industrie à risque. La prise de conscience de l’opinion publique qui a suivi l’accident rend d’autant plus brûlante la question de la sécurité de ces installations.
Accidents nucléaires majeurs : que s’est-il passé ?
Dans cette partie il s’agit de redécouvrir le déroulement de deux accidents nucléaires majeurs, ceux de Three Miles Island et de Tchernobyl ainsi que leur impact sur la conception et l’exploitation des installations nucléaires.
Three Miles Island
L’accident de la centrale nucléaire de Three Miles Island (TMI) a constitué un véritable tournant dans l’industrie nucléaire et dans la prise en compte du facteur humain (Llory, 1996 ; Appel & Chambon, 1998).
Le 28 Mars 1979 à 4 h du matin, sur la tranche 2 de la centrale nucléaire de TMI, les opérateurs sont occupés à régler un petit incident sur le circuit secondaire de la centrale . La défaillance d’un des circuits auxiliaires du circuit secondaire entraîne l’arrêt automatique des pompes – qui alimentent en eau le Générateur de Vapeur (GV) – et de la turbine. Cela n’a rien d’exceptionnel, mais va impacter le refroidissement du cœur qui se fait par transfert de chaleur de l’eau primaire à l’eau secondaire au niveau du GV. La pression et la température de l’eau primaire vont augmenter rapidement. Une vanne de décharge située au pressuriseur s’ouvre automatiquement pour permettre la diminution de la pression. Cette action ne permet pas de faire diminuer suffisamment la pression de l’eau primaire, donc automatiquement les barres d’arrêt chutent dans le cœur pour diminuer la réaction nucléaire et faire chuter la pression et la température. Une fois la pression et la température stabilisées dans les limites de fonctionnement, un ordre de fermeture automatique est envoyé à la vanne. Un voyant indiquant l’émission de l’ordre s’allume en salle de commande. Ce qui pour les opérateurs indique que la vanne est effectivement fermée, or la vanne ne se referme pas totalement. Les opérateurs viennent de vivre un « incident normal d’exploitation » qui ne se déroule que depuis une dizaine de secondes.
La vanne maintenue ouverte fait à nouveau chuter la pression du circuit primaire qui atteint un seuil de 110 bars. Cela déclenche l’ouverture d’un système d’injection de sécurité (IS) qui alimente en eau froide le circuit primaire. Seulement 2 minutes se sont écoulées depuis le début de l’arrêt des pompes du circuit secondaire. La pression du primaire reste basse à cause de la vanne restée ouverte mais le niveau du pressuriseur semble augmenter. Ce qui est critique pour l’opérateur car un de ses objectifs de conduite est de veiller à maintenir en permanence un certain niveau d’eau dans le pressuriseur, ni trop haut, ni trop bas . Mais à ce moment là, les indications de niveau d’eau dans le pressuriseur ne semblent plus fiables puisque l’eau primaire est un mélange d’eau et de vapeur sans séparation nette des deux phases. Au bout de 4 minutes 30, les opérateurs arrêtent manuellement le système d’injection de sécurité pour ne pas remplir le GV. A partir de ce moment, il y a une fuite du circuit primaire, par la vanne restée ouverte et des circuits de sécurité désarmés. Le cœur n’est plus refroidi comme il le faudrait par l’eau primaire ou un circuit de sécurité et s’échauffe encore. Le circuit primaire diphasique a altéré le fonctionnement des pompes primaires et les opérateurs choisissent de les arrêter pour ne pas les abimer. Cela aggrave la situation en stoppant la circulation d’eau dans le réacteur. La partie supérieure du cœur est progressivement asséchée. Seulement refroidi par la vapeur, le combustible s’échauffe et fond.
Après 2h30, les opérateurs ferment la vanne d’isolement (placée en série de la vanne de décharge bloquée en position ouverte), isolent la fuite primaire et remettent en service le système d’IS (Libmann, 1992 ; Llory, 1996 ; Barré, 2009).
L’accident de Three Miles Island n’a eu d’autres conséquences que la fusion partielle du cœur.
Tchernobyl
Dans un premier temps, l’accident de Techernobyl fait moins « de bruit » que l’accident de TMI, mais il va sans doute marquer plus profondément les esprits. Ce qui ressort en premier lieu c’est qu’un accident semblable à Tchernobyl ne peut arriver dans les centrales occidentales qui sont conçues différemment – les réacteurs des centrales soviétiques à basse charge peuvent subir une réactivité instable. Par mesure de sécurité, sur les centrales de type soviétique, le fonctionnement du réacteur à une puissance inférieure à 20% de la puissance nominale est interdit (Llory, 1996).
Ce qu’il faut mentionner au sujet de l’accident de Tchernobyl, c’est le contexte dans lequel il s’est passé. Un arrêt de maintenance est programmé sur le réacteur de la tranche 4 de la centrale nucléaire de Tchernobyl pour le début du mois de mai 1986. A cette occasion, un test de sûreté doit être mené, il s’agit de vérifier lors d’un arrêt du réacteur à basse charge, en cas de perte d’alimentation électrique extérieure, si l’inertie du groupe turbo alternateur peut alimenter électriquement les dispositifs de sécurité (dispositifs permettant le refroidissement du cœur, comme l’IS) en attendant la montée à pleine puissance des groupes diesel. Cette expérience avait déjà été réalisée à deux reprises sur d’autres centrales, mais elle n’avait pas été concluante. Le dispositif est donc légèrement modifié et va nécessiter de maintenir le fonctionnement du réacteur à basse charge, malgré le risque de réactivité instable à basse charge.
Le 25 Avril les opérateurs diminuent la puissance du réacteur pour atteindre les conditions d’essai, à savoir 25% de la puissance nominale. A 14h le dispatching de Kiev demande aux opérateurs que la tranche 4 de la centrale se maintienne sur le réseau à cause d’une forte demande électrique dans le pays. Pendant 9h la centrale reste couplée au réseau, cela retarde d’autant le début de l’essai. A 23h, les opérateurs commencent à nouveau l’abaissement des paramètres pour atteindre les 25% de charge, mais il leur est difficile de stabiliser la puissance du réacteur. A 0h30 il y a une chute brutale de la puissance à 1%, à cause d’une mauvaise synchronisation lors du passage en manuel de la conduite des barres (qui permettent de contrôler la réactivité du cœur). Vers 1 h du matin, les opérateurs atteignent une puissance de l’ordre de 7%. Il s’agit d’un seuil inférieur à celui attendu et il est toujours considéré comme potentiellement dangereux. A 1h05, les huit pompes d’alimentation en eau du circuit sont mises en fonctionnement en vue de refroidir le cœur pendant l’essai. Cela a pour conséquence de diminuer la marge de « sous-refroidissement ». Toute augmentation de température ou diminution du débit entrainerait l’ébullition en masse du circuit à l’entrée du réacteur. A 1h23 du matin, l’essai programmé est enclenché par la fermeture des vannes du circuit turbo alternateur. Le ralentissement du turbo alternateur entraîne le ralentissement des pompes d’alimentation. On assiste à une augmentation de la réactivité en partie basse du réacteur ce qui a pour conséquence la déformation d’une partie des circuits et à 1h24, la tentative d’arrêt manuel du réacteur échoue. Quelques secondes plus tard, deux explosions secouent la tranche et brisent la dalle supérieure du cœur. Une trentaine d’incendies se déclarent dans les environs.
Il est certain que l’essai aurait dû être interrompu vu les difficultés rencontrées par les opérateurs à stabiliser la puissance du réacteur dans une zone considérée comme « neutroniquement instable». D’autant que d’autres centrales soviétiques avaient refusé de mener un tel essai. (Libmann, 1992 ; Llory 1996; SFEN, 2002) .
Les conséquences de l’accident de Tchernobyl sont beaucoup plus importantes que celles de TMI. On dénombre 30 morts parmi les intervenants du premier jour, s’ajoutent à cela des conséquences sanitaires, psychologiques, environnementales.
Enjeux pour les facteurs humains et organisationnels
La relecture du déroulement des accidents de TMI et de Tchernobyl permet de mettre au jour un certain nombre de disfonctionnements ou défaillances pouvant survenir dans l’exploitation d’installations nucléaires. L’analyse de l’accident de TMI va impacter fortement la prise en compte du facteur humain au niveau des opérateurs au poste de contrôle. Le facteur humain peut se définir par « l’analyse, la description et la compréhension des conduites adoptées par les hommes et les femmes en situation réelle » (Dejours, 2010, p5). L’analyse de cet accident a permis de réaliser le rôle fondamental de l’homme dans la conduite des systèmes ultra-sûrs et cela a notamment contribué à un courant de recherche sur « l’erreur humaine ». Par ailleurs cet accident a donné lieu à la prise en compte du facteur humain dès la conception des systèmes notamment par la mise en place de « modes de conduite » .
L’analyse de l’accident de Tchernobyl va révéler les défaillances organisationnelles des systèmes sociotechniques, et permettre l’émergence d’une culture de sûreté. Ce concept sera ensuite repris plus largement dans les systèmes ultra-sûrs (Daniellou, Simard & Boissières, 2010).
|
Table des matières
INTRODUCTION
L’industrie nucléaire
1 Le nucléaire
1.1 Un système « ultra sûr »
1.2 Une industrie surveillée
2 Accidents nucléaires majeurs : que s’est-il passé ?
2.1 Three Miles Island
2.2 Tchernobyl
2.3 Enjeux pour les facteurs humains et organisationnels
3 Les modes de conduite
3.1 De l’événementiel au « par état »
3.2 Une combinaison de modes de conduite
3.3 Détails sur l’approche par état en France
4 La culture de sécurité
4.1 Définition du concept
4.2 La recherche d’une cohérence
PARTIE I : CADRE THEORIQUE
Chapitre 1 : La fabrique de la sécurité
1 Les évolutions de la sécurité industrielle
1.1 Causes des accidents : identification des défaillances
1.1.1 Défaillances techniques
1.1.2 Défaillances humaines
1.1.3 Défaillances organisationnelles
1.2 Un point de vue systémique : les différentes théories
1.2.1 Normal accident
1.2.2 Blunt end/Sharp end
1.2.3 Défense en profondeur
1.2.4 Le courant des HRO
1.3 L’émergence de l’ « ultra sécurité »
2 La sécurité des systèmes
2.1 La sécurité réglée
2.2 La sécurité gérée
2.3 Quelle articulation ?
2.4 La sécurité négociée
Chapitre 2 : La supervision de processus
1 Caractéristiques du système
1.1 Un dispositif complexe
1.2 Un environnement dynamique
1.3 Un contrôle indirect
2 Activité cognitive des opérateurs en situation dynamique
2.1 Résolution de problème : Diagnostic et prise de décision
2.2 Arbitrages
2.2.1 Le « compromis cognitif »
2.2.2 ETTO (Efficiency-Thoroughness Trade-Off)
2.2.3 Compromis entre la compréhension et l’action
3 Les ressources de l’activité
3.1 Les procédures et leur usage
3.1.1 Caractéristiques des procédures
3.1.2 L’implicite de la prescription
3.1.3 Conditions d’application des procédures
3.1.4 Responsabilité et application des procédures
3.2 Le travail collectif
3.2.1 Caractéristiques du travail collectif
3.2.2 Formes et conditions de la coopération
3.2.3 Régulations collectives
3.2.4 Le collectif de travail
3.3 La formation
3.3.1 Se former
3.3.2 Caractéristiques de la situation de simulation
3.3.3 Débriefing : développement des compétences
PARTIE II : PROBLÉMATIQUE
Chapitre 3 : Contexte de l’étude
1 La conduite d’installations nucléaires
1.1 La production d’énergie : principe de base
1.2 Description du système
1.2.1 Circuit primaire
1.2.2 Circuit secondaire
1.3 Tâches de l’opérateur
1.3.1 Réfrigérer le cœur
1.3.2 Contrôler la réactivité
1.3.3 Assurer la pressurisation du primaire
1.3.4 Assurer le confinement
1.3.5 Maintenir l’équilibre des puissances primaire et secondaire
2 Des environnements de conduite différents
2.1.1 La taille du poste de conduite
2.1.2 « Situation » du poste de conduite
2.1.3 Pupitres
2.1.4 Procédures
2.1.5 Moyens de communication
2.1.6 Equipes de conduite
2.1.7 Rôle des opérateurs au sein de l’équipe
2.2 Caractéristiques communes aux deux systèmes
2.2.1 Technologie nucléaire
2.2.2 Origine des opérateurs
2.2.3 Equipe de quart
Chapitre 4 : Problématique de recherche
Chapitre 5 : Stratégie de recherche
1 Méthodologie
1.1 Définitions préliminaires
1.2 Scénario étudié
1.2.1 Choix du scénario
1.2.2 Harmonisation des scénarios sur les deux installations
1.2.3 Validation des scénarios
1.3 Population
1.3.1 Opérateurs
1.3.2 Formateurs
1.4 Protocole expérimental
1.4.1 Animation des séances
1.4.2 Déroulement d’un entraînement
1.4.3 Recueil des données
1.4.4 Restitution des résultats
2 Hypothèses
2.1 Les environnements de conduite
2.1.1 Statut des procédures dans les formations
2.1.2 Travail collectif
2.1.3 Autonomie des opérateurs
2.2 La résolution de problème
2.2.1 Impact des modes de conduite
2.2.2 Scénario ambigu sur S : variabilité des réponses
2.2.3 Scénario ambigu sur P : conformité au prescrit
PARTIE III : CONTRIBUTIONS EMPIRIQUES
Chapitre 6 : Diagnostic et résolution de problème
1 Méthode
1.1 Identification des processus soutenant le diagnostic
1.1.1 Qualification de l’évènement
1.1.2 La décision d’arrêt du réacteur
1.1.3 Le choix de la procédure post-arrêt
1.1.4 La quantification du débit de fuite
1.2 Codage du diagnostic
1.3 Identification de situations d’arbitrages
2 Résultats
2.1 Analyse du diagnostic
2.1.1 Scénario standard
2.1.2 Scénario ambigu
2.2 Des prises de décision délicates
2.2.1 Gérer un conflit d’objectifs
2.2.2 Le choix de la procédure en situation ambiguë
2.2.3 La nécessité d’agir alors qu’aucune procédure n’est évidente
3 Conclusions préliminaires
3.1 Performance
3.2 Impact des modes de conduite
3.2.1 Scénario standard
3.2.2 Scénario ambigu
3.3 Du « géré » sur S comme sur P
Chapitre 7 : Travail en équipe et collectif de travail
1 Des contextes du travail collectif
1.1 Fonctionnement des équipes
1.2 Taille du poste de conduite
1.3 Le fonctionnement des équipes dans les prescriptions
2 Méthode
2.1 Identification des tâches collectives sur S
2.2 Etude des échanges verbaux
2.2.1 Catégorisation des tours de paroles
2.2.2 Matériau utilisé
2.3 Identification des conversations
3 Résultats
3.1 Analyse qualitative du travail collectif
3.1.1 La réallocation des tâches au sein de l’équipe sur S
3.1.2 Une co-action sur P ?
3.2 Analyse quantitative des échanges verbaux
3.3 Analyse des conversations
4 Conclusions préliminaires
4.1 Vers un collectif de travail sur S
4.2 Un travail collectif limité sur P
CONCLUSION
