Analyse des accidents de TMI (Three Mile Island)

Introduction

Three Mile Island était une centrale nucléaire américaine où a eu lieu un dramatique accident le 28 Mars 1979. Une chaîne d'événements a abouti à la fuite d’eau de refroidissement (un accident de perte de réfrigérant dans le jargon de l'industrie). Le réacteur a failli subir une fusion, considérablement endommagé au-delà de la réparation, le nettoyage a pris plus d'une décennie et a coûté 1 milliard de dollars et depuis cette date aucun nouveau réacteur n’a été construit aux États-Unis.

Auteur

Andrew Hopkins, professeur, auteur et consultant dans le domaine de sécurité industrielle et l’analyse des accidents.

Analyse de l’accident TMI

L’accident TMI a été déclenché par une défaillance de maintenance sur un purificateur d’eau du circuit primaire, une fuite d’eau de soupape a causé la fermeture des pompes principales dans le circuit externe. Cette perte de flux signifie que la chaleur ne soit plus retirée du circuit interne. Pour surmonter ce danger, les pompes d’urgence étaient censées venir à maintenir le débit d’eau dans le circuit externe, mais elles étaient bloqué 2j avant par erreur. En ce moment, le circuit externe a cessé donc d’éliminer la chaleur provenant du circuit interne. D’autre part, à cause d’un défaut de conception, le panneau de contrôle a indiqué que la soupape était fermée même si elle était ouverte. Afin d’éviter la liberation des matières radioactives, les pompes d’injection à haute pression ont commencé à introduire de l’eau supplémentaire dans le circuit. C’est ainsi que les opérateurs, voyant la croissance de pression, ont étranglé manuellement ces pompes arrières... Ces actions inadaptées ont entrainé la fusion d’une partie du combustible. L’enceinte de confinement, troisième barrière, a joué son rôle pour limiter les rejets radioactifs.

On résume qu’il avait 4 défaillance entraînant cet accident :

• Défaillance de maintenance du purificateur causant la fermeture des pompes principales d’alimentation

• Blocage des pompes d’urgence

• Défaillance de la soupape de décharge du réacteur

• Le défaut du panneau de contrôle

Approches et Problématiques

Problématique I : L’accident TMI était il inévitable ?

➢ Approche de Perrow

En 1984, Charles Perrow a publié une analyse sur cet accident. Dans cette analyse Perrow a considéré cet accident comme étant « normal », et sa théorie est devenue connue sous le nom Théorie des accidents Normaux. Un accident normal selon Perrow est un accident inhérent aux caractéristiques étroitement couplées des systèmes complexes et ne peut pas être évité. Un couplage étroit du système est fortement interdépendant, chaque partie est en interaction avec des nombreuses autres parties, de sorte qu'une défaillance de l'un peut rapidement affecter le statut des autres. Une pièce défectueuse ne peut pas être facilement isolée soit parce qu'il n'y a pas assez de temps pour la contrôler ou parce que son échec affecte aussi beaucoup d'autres parties, même si l'échec ne se produit pas rapidement.

➢ Approche de Turner

Dans le livre de Turner, qui a été publié en 1978 et suivi d’un article en 1994, Turner accuse la gestion bâclée comme la cause d’un tel type d’accident. En effet, selon Turner la Gestion bâclée ne parvient pas à mettre en place des systèmes adéquats de collecte d'informations notamment les signes d’alerte et les avertissements qui sont manqués, négligés ou ignorés.

Turner est d'accord avec Perrow que, compte tenu de la situation dans laquelle les opérateurs se sont trouvés, il n'y avait pas de moyen qu'ils auraient pu éviter l’accident. Mais cela ne signifie pas que l'accident était inévitable. On peut légitimement se poser la question: pourquoi les opérateurs se trouvent dans cette position?

Problématique II : Pourquoi les opérateurs se sont trouvé dans cette position ?

Pour y répondre, on devait étudier les avertissements. Les avertissements principaux se sont passés avant l’accident TMI, pourtant par négligence et les erreurs bureaucratiques, ils ne sont pas transportés aux clients.

1. 17 mois avant l’accident grave, TMI avait eu un incident qui est déclenché par la défaillance de maintenance sur purificateur d’eau dans le circuit externe. Les investigateurs a écrit un mémorandum recommandant 9 étapes qui devraient être agi à éviter un tel incident. Ce mémorandum a été résumé et s’est passé à la hiérarchie de l’entreprise mais il n’y avait pas de réponse satisfaisante.

2. Avant l’accident TMI, Il y avait eu 11 retours d’échecs liés à la soupape du réacteur de Babcock and Wilcox (Entreprise fabriquant les réacteurs). Mais BW n’a pas notifié systématiquement à tous ses clients sur les mesures nécessaires. Conformément à ces retours, BW aurait du faire une formation complémentaire aux opérateurs pour veiller à ce qu’ils fussent en situation possible d’une défaillance de la soupape. Il aurait du aussi faire une modification de l’indicateur pour assurer que cela fonctionnait de façon fiable.

3. 18 mois avant l’accident TMI, un accident quasi similaire à celui de TMI avait eu lieu chez Davis-Besse (un autre client de réacteur BW). En vertu de l’accident DB, deux ingénieurs de BW étaient préoccupés par ces événements et ont envoyé une note mentionnant qu’il faudra faire une orientation pour les opérateurs en cas de l’injection à haut pression et clairement posant l’avertissement que si cet événement a eu lieu dans un réacteur à pleine puissance, il aurait probablement entrainé à l’endommagement du combustible. Pourtant par négligence et les erreurs bureaucratiques que l’information n’a jamais été transporté aux clients de BW. En outre, le bulletin de l’incident DB a été rapporté comme un accident de perte de réfrigérant causé par une défaillance de la soupape, sans précisé que le système d’injection à haute pression avait été résilié prématurément par les opérateurs pour se protéger contre les conséquences de la perte de réfrigérant.

4. 2 ans avant l’accident TMI, un ingénieur à un autre client avait procédé à une analyse des circonstances qui pourraient conduire à un tel accident. Il a prédit que les opérateurs étaient susceptibles de résilier prématurément le système d’injection à haute pression et a expliqué précisément pourquoi cela pourrait être prévu. Cette analyse a été transmise à BW qui effectivement n’a rien fait à ce sujet.

Problématique III : Pourquoi les avertissements ont été négligés ?

La réponse : aucune des entreprises concernées avait des procédures organisationnelles adéquates pour appliquer à l’expérience passée.

D’ailleurs, pour ces entreprises, la gestion n’a pas estimé nécessaire de prêter attention aux détails techniques. Ils pouvaient se permettre de se soustraire à des questions techniques et de se concentrer leur attention sur le marketing, la réduction des coûts et la maximisation des profits. D’autre part, le retour des anciennes expériences n’était pas assuré ce qui a privé TMI d’apprendre et de se préparer à un tel problème.

Commentaires et Critiques

Il est maintenant clair que l'accident TMI conforme à merveille pour le compte de Turner. C’est une histoire d’ignorer les avertissements, du manque de communication, et de l'échec de la direction à concentrer son attention sur la sécurité. Ce n’est pas un accident inévitable par la complexité technologique et un couplage étroitement; il n’était pas un accident si différent des autres accidents majeurs à exiger un tout nouveau paradigme explicatif, le paradigme de l'accident normal.

Mais pourquoi Perrow a considéré l’accident TMI comme un accident normal ? Il était certainement au courant de toutes les preuves de mises en garde et la gestion négligé. Le but ultime de Perrow était de contester la conclusion de la Commission du président que la principale cause de l’accident était une erreur de l’opérateur. Son principal argument contre la thèse de l’opérateur est que la situation que les opérateurs envisagent de TMI était si complexe et opaque qu’ils ne pouvaient pas être tenus de comprendre ce qui se passait ou ce que les mesures qu’ils devraient prendre pour régler le problème.

La complexité doit être accompagnée d’une mise en place de système fiable d’interprétations des flux d’informations notamment les avertissements techniques et analyser leur influence sur le fonctionnement global du système.

La bonne communication, la collecte des informations, les formations continues et les retours d’expériences sont les clés pour éviter les accidents de ce type.

Conclusion

Pour conclure, est-t-il TMI un accident normal? L'accident a eu lieu certainement dans un système complexe et étroitement couplé. Mais cela ne lui a pas rendu inévitable et incontournable. La gestion bâclée aux avertissements a entraîné aux accidents.

Ce n’est pas seulement un débat théorique. Il y a des conséquences pratiques pour la façon dont nous prévenons des accidents. La théorie des accident normaux suggère une approche technologique: réduire la complexité et le couplage. L'approche alternative est de faire des changements organisationnels visant à améliorer les flux d'information, les processus de prise de décision et ainsi de suite. Cette dernière approche est susceptible d'être plus utile pour la prévention des accidents.

...