SharePoint
Aide
 

Fukushima en 2015

L’accident de Fukushima vu sous l’angle des facteurs organisationnels et humains

Fermer

Authentification

Email :

Mot de passe :

 

​Quatre ans après l’accident japonais de Fukushima de mars 2011, l’IRSN a analysé l’ensemble des rapports officiels et témoignages disponibles afin de comprendre à l’échelle des hommes et des organisations ce qui s’est passé à l’intérieur de la centrale.

L’analyse de l’accident du point de vue des facteurs organisationnels et humains (FOH) a permis d’identifier six questions pour répondre à deux interrogations essentielles : quelle a été la capacité des hommes à agir et se coordonner dans l’urgence ? Dans quelle mesure les interventions humaines ont pu participer à la catastrophe ?

Télécharger le rapport condensé PSN-SRDS / SFOHREX n°2015-02 « Six questions pour tirer les leçons de la catastrophe de Fukushima sur le plan des facteurs organisationnels et humains » (PDF, 0,98 Mo)

Télécharger le rapport complet en anglais PSN-SRDS / SFORHEX n°2015-01 « Human and Organizational Factors Perspective on the Fukushima Nuclear Accident » (PDF, 2,13 Mo)

 

Le 11 mars 2011 à 14h46, un tremblement de terre se produit sur la côte est du Japon. A la centrale de Fukushima Daiichi, les trois réacteurs en fonctionnement s’arrêtent automatiquement, et les générateurs de secours démarrent. Toutefois, à 15h37, les systèmes de refroidissement des réacteurs 2 et 3 ne fonctionnent plus et les opérateurs se retrouvent plongés dans l’obscurité. Personne dans la salle de commande et dans la cellule de crise ne comprend alors qu’un tsunami a inondé une partie du site.

 

Question n°1 : Comment faire face à une défaillance totale du contrôle-commande ? 

Batteries de secours installée en salle de commande
Batteries de secours installée en salle de commande (source : TEPCO)

Le cas du réacteur n°1 de la centrale, qui a été rapidement en difficulté, est utile pour comprendre comment l’accident a été géré par les hommes. Au tout début, les opérateurs utilisent des lampes torches pour lire les procédures d’urgence. Or, ces dernières ne sont d’aucun secours : dans la salle de commande, les indicateurs qui servent à contrôler le fonctionnement des réacteurs sont hors-service.

Dès lors, les opérateurs ne savent pas si le circuit de refroidissement du système de secours, s’est mis en marche. Il est également impossible de savoir si les vannes qui permettent son fonctionnement sont ouvertes.  En fait, les opérateurs n’étaient pas assez familiers avec le système pour savoir qu’il comprenait un mécanisme de sécurité intégrée fermant toutes les vannes en cas de perte de puissance.

Afin de récupérer les indicateurs en salle de commande, les opérateurs tentent de restaurer l’alimentation électrique en utilisant des batteries de bus et de voitures. Une fois l’opération réussie, ils observent des informations contradictoires sur le niveau d’eau dans la cuve du réacteur n°1. Les investigations ultérieures ont démontré que l’indicateur donnait des indications fausses en raison des conditions extrêmes auxquelles il était soumis. Pourtant, à ce moment-là, personne ne le remet en question.

 

Leçons pour la sûreté

  • Quand l’ensemble des indicateurs devient inopérant, il devient nécessaire de développer de nouveaux moyens pour collecter et interpréter des informations relatives à l’état du réacteur.

  • Les opérateurs éprouvent des difficultés pour accepter une défaillance du contrôle-commande et sont prêts à tenir compte de toute indication persistante. Ils éprouvent des difficultés à envisager d’autres moyens de collecte d’information ou d’action sur les installations.

 

  • Quand les actions doivent être réalisées manuellement en local dans un milieu potentiellement dangereux, il est nécessaire de disposer d’une très bonne connaissance des installations pour anticiper leur déroulement.

 

  • Le manque d’expérience passée et de savoirs empiriques rend difficile la définition des modalités de recueil d’information et d’intervention en local.

 

  • Les savoirs empiriques sont limités car les opérateurs sont confrontés à un « monde sur écran » où ils ne voient les effets de leurs actions qu’à travers des capteurs et des indicateurs, et en raison de la place importante des prescriptions et procédures.

 

 

Question n°2 : Quelle autonomie pour l’équipe de conduite ?

Réacteurs 1 à 4 après une série d'explosions
Réacteurs 1 à 4 après une série d'explosions (source : TEPCO)

Le 12 mars dans la nuit, il apparaît certain que l’éventage de l’enceinte de confinement du réacteur n°1 devra être réalisé pour diminuer la pression et préserver son intégrité. Or, l’équipe de conduite qui avait pu jusqu’ici prendre des initiatives, doit cette fois attendre l’autorisation de la cellule de crise nationale.  Et pour cause: comme la fusion du cœur a probablement commencé, des rejets radioactifs dans l’environnement sont inévitables et la population aux alentours doit être évacuée au plus vite. 

A 9h02, le 12 mars, une fois l’évacuation de la population réalisée, trois binômes d’opérateurs sont choisis pour ouvrir les deux vannes d’éventage. Toutefois, l’environnement hautement radioactif va obliger la seconde équipe à abandonner l’opération. La cellule de crise réfléchit alors à la possibilité d’ouvrir à distance une vanne équivalente. Cependant, aucune procédure n’a prévu cette situation, qui nécessite l’installation d’un compresseur. Ce sera finalement fait à 14h00.

A 15h36 et alors que l’éventage a commencé, une énorme explosion affecte le bâtiment du réacteur n°1. Les opérateurs doivent ensuite réparer les lignages endommagés par l’explosion pour pouvoir recommencer à injecter de l’eau dans le réacteur.

 

Leçons pour la sûreté

  • L’équipe de conduite se retrouve quasiment isolée du fait de la dégradation des moyens de communication et du fait des nombreuses urgences que doit gérer la cellule de crise du site.

  • Les opérateurs parviennent à s’adapter à la situation de manière très autonome. Ils mettent en place des modalités de fonctionnement et de management des équipes guidées par les actions qu’ils doivent réaliser. L’équipe de conduite est capable d’élaborer des séquences d’action de façon autonome, sans l’appui de la cellule de crise.

  • Mais quand l’action sort du périmètre direct de la salle de commande, l’équipe de conduite rencontre trois écueils : l’interdépendance avec d’autres acteurs, la difficulté à anticiper des séquences d’action inédites, la complexité du système qui fait qu’une action peut avoir une incidence sur une autre.

 

 

Question n°3 : Comment gérer simultanément plusieurs réacteurs accidentés ?

En salle de commande, la récupération temporaire d’indicateurs montre très clairement que le réacteur n°1 est dans la position la plus délicate. Toutefois, deux autres réacteurs sont concernés par un accident.

Le 12 mars à 11h36, le système de secours du réacteur n°3 s’arrête. A 12h35, un système de refroidissement de secours (HPCI) démarre automatiquement. Toutefois, le niveau d’eau dans la cuve est descendu en dessous de ce que les indicateurs peuvent contrôler. Il est donc nécessaire d’injecter au plus vite de l’eau directement dans la cuve. 

A 2h45 le 13 mars, le HPCI, dont l’utilisation est problématique, est arrêté par les opérateurs. Le directeur de la centrale décide d’injecter de l’eau dans le réacteur via les camions de pompier. Enfin, les difficultés vont se multiplier en même temps que le niveau de radiation dans la salle de commande augmente fortement : 

  • l’ouverture de la vanne de dépressurisation de la cuve nécessite une importante alimentation en électricité et il n’y a plus assez de batteries disponibles. Aussi, une équipe récupère les batteries des véhicules personnels garés sur le parking.
  • le stock d’eau douce s’épuise. La décision est donc prise d’injecter de l’eau de mer restée piégée dans des recoins après le reflux du tsunami. Puis, quand ces réserves d’eau se tarissent, un lignage jusqu’à la mer est créé.
  • le bâtiment du réacteur n°3  explose le 14 mars à 11h01, blessant 11 personnes. A 13h00, une équipe constate que la plupart des camions de pompiers ont été endommagés et que les tuyaux de lignage sont inutilisables.

Chronologie de l'accident à la centrale de Fukushima

 

Du côté du réacteur n°2, et forts des enseignements tirés des difficultés d’éventage sur les réacteurs n°1 et n°3, les opérateurs cherche à anticiper cette étape. Or, les opérations sont ralenties car les pompiers sont accaparés par le réacteur n°3. 

Dans la journée du 14 mars, le système de refroidissement du secours du réacteur n°2 s’arrête. De l’eau doit être injectée au plus vite dans le réacteur, ce qui nécessite de dépressuriser la cuve. Or, le directeur de la centrale et des responsables de TEPCO estiment qu’il est préférable de procéder au préalable à l’éventage. En effet, si l’injection s’avérait impossible, ce qui conduirait à la fusion du cœur, au moins l’enceinte continuerait à assurer un certain confinement.

L’éventage, une fois de plus, s’avère excessivement difficile à réaliser. Aussi, le président de TEPCO demande la dépressurisation de la cuve du réacteur. A partir de 19h54, la pression finit par baisser suffisamment pour démarrer l’injection d’eau. A 1h00, le 15 mars, la pression finit par se stabiliser, permettant enfin une injection d’eau continue.

 

Leçons pour la sûreté

  • Dimensionnée pour gérer un accident sur un seul réacteur, la cellule de crise a dû prioriser les besoins et a porté son attention sur un réacteur à la fois.

  • Un raisonnement par analogie s’est opéré au sein de la cellule de crise : ce qui s’est passé sur le réacteur n°1 a servi de cadre référentiel pour les autres, notamment pour l’éventage.

  • Le management successif de chaque réacteur a conduit à certaines difficultés car identifier les priorités entre les réacteurs n’est pas aisé.

 

Question n°4 : Comment encourager l’innovation dans une situation totalement inédite ?

Injection d'eau par des camions de pompiers à Fukushima Daiichi
Injection d'eau par des camions de pompiers à Fukushima Daiichi (source : TEPCO)

Trois méthodes sont envisagées et mises en œuvre pour assurer l’alimentation en eau des réacteurs : l’utilisation des systèmes de secours de refroidissement des réacteurs, l’utilisation d’un circuit de secours alimenté par la pompe du système incendie, et l’utilisation du circuit de secours alimenté par des camions de pompiers. 

Solution en apparence extravagante et difficilement réalisable, l’idée d’utiliser des camions de pompier pour injecter de l’eau dans les réacteurs et ainsi les refroidir s’est finalement révélée la plus judicieuse. Mais sa mise en place n’a pas été sans difficulté. Si trois camions sont disponibles sur le site de la centrale, un seul est utilisable après le tsunami. Ensuite, seule une société prestataire est capable de manœuvrer l’engin et elle s’interroge sur sa collaboration compte tenu du contexte.  Enfin, personne ne sait où se trouve le port de connexion sur la façade du bâtiment du réacteur, lequel est in fine trouvé caché sous un tas de débris. 

 

Leçons pour la sûreté

  • La première phase du travail se caractérise par une persistance à vouloir restaurer des capacités perdues. Deux raisons à cela : l’équipe de conduite maîtrise l’expertise technique et l’équipe de crise juge plus facile de suivre des procédures existantes que d’en créer de nouvelles à l’issue incertaine.

  • La solution consistant à recourir aux camions de pompier est formulée par le directeur de la centrale, sur la base de son expérience d’une crise passée et rendue possible par son niveau hiérarchique. Plus l’innovation est importante, plus les questions de responsabilité et de crédibilité jouent un rôle.

  • Les solutions sont mises en œuvre plutôt de manière séquentielle. Ainsi, la solution des camions de pompier est peu anticipée et les difficultés rencontrées lors de la mise en œuvre viendront allonger le délai de mise en œuvre effective.

  • La mise en œuvre de ces innovations est rendue possible grâce une coordination centralisée qui attribue aux acteurs des rôles et des fonctions non définies au préalable. Elle repose sur la négociation des conditions d’intervention avec une société prestataire dans un contexte hautement à risque.

  • La mise en œuvre est facilitée par l’équipe de récupération qui prend en charge des urgences mal définies et relevant simultanément de plusieurs champs de compétence. L’équipe est capable de « bricolage » dans la mesure où elle parvient à une utilisation créative des ressources disponibles.

 

 

Question n°5 : Quels principes éthiques face à des situations tragiques ?

Opérations d'urgence réalisées à la centrale de Fukushima Daiichi
Opérations d'urgence réalisées à la centrale de Fukushima Daiichi (source : TEPCO)

Face à la gravité de l’accident, les acteurs (opérateurs, manageurs, politiciens) doivent faire face à des choix tragiques: comment choisir les opérateurs qui devront se déplacer sur le terrain alors que le niveau de radiation ne cesse d’augmenter ? Comment sélectionner les équipes chargées d’aller assurer l’éventage des réacteurs ? 

Autre dilemme : assurer la sécurité des travailleurs et la nécessité de réaliser certaines tâches pour éviter une évolution catastrophique de la situation. En réalité, ces enjeux sont très liés. C’est une négociation constante qui s’opère entre les risques encourus par les opérateurs et le gain attendu de l’action à entreprendre.

  • Avec l’augmentation des niveaux de radiation, la cellule de crise réalise que les opérateurs ne pourront plus poursuivre leur activité. En réponse, le bureau du Premier ministre fait passer les valeurs limites d’exposition de 100 mSv à 250 mSv puis 500 mSv.
  • En salle de commande, les travailleurs développent des stratégies pour limiter leur exposition : port d’équipements de protection, positionnement au plus près du niveau du sol ou dans les parties les moins exposées.  
  • Sur le terrain, les travailleurs en charge de créer des lignages en eau ou de rétablir l’électricité cherchent à réduire leur exposition en se relayant avec leurs collègues ou en se réfugiant de temps à autres dans des zones moins exposées.
  • Devant la dégradation de la situation, une évacuation temporaire de la centrale est envisagée. La cellule de crise désigne 650 personnes à évacuer et 50 personnes qui doivent rester. Finalement, l’évacuation n’est que transitoire après que la situation du réacteur n°2 se soit légèrement améliorée.

Les décisions deviennent plus complexes quand elles impliquent des sous-traitants. Nanmei est mobilisée en partie car son personnel est le seul à pouvoir conduire les camions de pompier utilisés pour injecter l’eau. Or, quand les radiations atteignent des niveaux non prévues au contrat, le sous-traitant hésite. TEPCO, qui dispose de très peu d’options, conclut un compromis. Mais la négociation a retardé l'injection extrêmement urgente de l'eau dans le réacteur n°1.

 

Leçons pour la sûreté

  • Dans une situation d’extrême urgence, les travailleurs de Fukushima se trouvent confrontés à des décisions tragiques susceptibles d’entrainer des conséquences sur le cours de leur existence.

  • Pour choisir les personnes qui pourront être exposées à des risques radiologiques importants, plusieurs principes éthiques sont mobilisés :

    • ​Le bien commun. Les individus acceptent d’intervenir pour limiter les conséquences de l’accident alors qu’ils risquent leur santé, voire leur vie. 
    • L’économie de la vie. L’âge est un critère central car les travailleurs âgés exposés ont moins de chance de développer un cancer. La dimension sociale qui cherche à préserver les plus jeunes semble être prise en compte bien qu’elle n’a pas été véritablement explicitée.
    • Le compromis entre l’efficacité locale – préserver le bon fonctionnement des équipes opérationnelles via le leadership- et l’efficacité globale - choisir celui qui présente le plus de chance de réussir en le moins de temps possible. Aussi le compromis retenu est de choisir du personnel expérimenté qui n’exerce pas ce leadership. 
    • L’écoulement du temps peut également être utilisé même si ce principe de régulation est difficilement maîtrisable.
    • Le principe égalitaire comme la désignation par tirage au sort, est récusé. 

  • La désignation des personnes a été prise par les chefs d’équipe en concertation avec les opérateurs. Habitués à gérer leur équipe et à manager au quotidien la répartition des tâches, ils poursuivent cette activité en temps de crise. La décision de réajuster les limites d’exposition a été prise par la cellule de crise, le personnel de l’administration centrale de TEPCO et les experts au niveau des autorités politiques. Le compromis est alors fondé sur le seuil d’exposition en-dessous duquel le risque est supposé acceptable.

  

Question n°6 : comment l’intervention de la sphère politique peut conduire à une centralisation des décisions dans la gestion de crise ? 

Injection d'eau par des camions de pompiers à Fukushima Daiichi
Réunion de la cellule de crise en présence de TEPCO et des membres des cabinets ministériels (source : TEPCO)

Les investigations portant sur la gestion de crise ont souligné certaines défaillances dans les capacités de régulation de la crise, notamment l’attitude du Premier ministre qui s’est immiscé dans des décisions qui ne relevaient pas de ses compétences. Quatre facteurs organisationnels peuvent expliquer cette centralisation des décisions. 

L’organisation de crise a créée une distance entre le niveau local et le niveau hiérarchique le plus haut, ce qui est caractéristique d’un fonctionnement bureaucratique. Très rapidement, le Premier ministre organise son périmètre d’action, modifie et conçoit les procédures requises selon ce qui lui semble être le mieux adapté à la situation. Beaucoup d’informations sont perdues ou mal transmises car TEPCO ne savait pas « quoi » ni « à qui » transmettre les informations. L’organisation de crise et le bureau du Premier ministre n’ont pas forcément le même niveau d’information, ce qui peut conduire à des divergences d’interprétation et créer des difficultés de coopération.

Les autorités politiques accordent une confiance toute relative à la gestion de l’accident par TEPCO. Le Premier ministre estime qu’il ne possède pas suffisamment  d’informations, d’autant qu’il est responsable en dernier lieu du périmètre d’évacuation des populations. Ainsi, il ne se contente pas de faire un point régulièrement sur les évènements, il souhaite comprendre les enjeux et vérifier que toutes les actions de secours sont effectivement mises en œuvre. Lorsqu’il a le sentiment qu’il ne reçoit pas suffisamment d’information, il décide de se rendre sur place au risque de créer des perturbations et de retarder les opérations.

Le point culminant est atteint lorsque le succès de l’éventage du réacteur n°1 coïncide avec l’explosion de l’enceinte du bâtiment du même réacteur. Jusqu’ici les experts avaient été très affirmatifs sur le fait que le risque d’explosion était minime voir nul. Cet évènement conduit à un resserrement du contrôle du Premier ministre sur la centrale de Fukushima Daiichi.

En situation de crise, les autorités politiques sont convoquées pour endosser la responsabilité du décideur, et la volonté de partage des responsabilités paralyse les actions à entreprendre. Après avoir réussi à injecter dans la cuve de l’eau douce, TEPCO se rend à l’évidence qu’il sera ensuite nécessaire d’y injecter de l’eau de mer. La plupart des experts se rangent à cet avis, et le Ministre de l’énergie et de l’industrie ordonne à TEPCO de le faire. Mais personne chez le Premier ministre n’a entendu cet ordre, et celui-ci reste sceptique. Quand le siège de TEPCO réalise cela alors que l’injection d’eau de mer a déjà commencé, il demande immédiatement la suspension de l’opération. Cette situation montre la forte volonté de maintien d’un affichage de centralisation. C’est aussi l’occasion pour TEPCO de ne pas assumer seule la décision d’injecter de l’eau de mer.

Le corollaire d’une très forte centralisation de la décision est le développement de décisions prises en parallèle part les acteurs sur le terrain. Le directeur de la centrale est pris dans cette contrainte de devoir respecter la centralisation de la décision et en même temps d’être intimement persuadé qu’il faut poursuivre l’injection d’eau de mer. Aussi, il prétend que l’injection a été interrompue alors qu’elle se poursuit. Quand le Premier ministre finit par donner son accord, l’injection est prétendument redémarrée alors que celle-ci n’a jamais été interrompue. 

Une forte tension s’exerce donc entre le besoin de faire apparaître des décisions centralisées qui font consensus et le besoin de prendre des décisions décentralisées face à l’urgence pour répondre au plus près aux besoins du terrain. 

Solution en apparence extravagante et difficilement réalisable, l’idée d’utiliser des camions de pompier pour injecter de l’eau dans les réacteurs et ainsi les refroidir s’est finalement révélée la plus judicieuse. Mais sa mise en place n’a pas été sans difficulté. Si trois camions sont disponibles sur le site de la centrale, un seul est utilisable après le tsunami. Ensuite, seule une société prestataire est capable de manœuvrer l’engin et elle s’interroge sur sa collaboration compte tenu du contexte.  Enfin, personne ne sait où se trouve le port de connexion sur la façade du bâtiment du réacteur, lequel est in fine trouvé caché sous un tas de débris.

 

Leçons pour la sûreté

  • Les décisions pour répondre à l’accident de Fukushima fondent leur cohérence et leur dynamique autour de 4 caractéristiques qui se combinent et renforcent le phénomène de centralisation avec les écueils qu’il comporte.

  • L’apparition successive de ces caractéristiques constitue une réponse fonctionnelle aux difficultés de communications et aux difficultés d’exercice de la responsabilité en temps de crise.

 

Pour en savoir plus

Télécharger le rapport condensé PSN-SRDS / SFOHREX n°2015-02 « Six questions pour tirer les leçons de la catastrophe de Fukushima sur le plan des facteurs organisationnels et humains » (PDF, 0,98 Mo)

Télécharger le rapport complet en anglais PSN-SRDS / SFORHEX n°2015-01 « Human and Organizational Factors Perspective on the Fukushima Nuclear Accident » (PDF, 2,13 Mo)

Page 1 de 234