Le Britannique Farmer, lui, intervient dans la session des spécialistes de sûreté. Et il attaque explicitement la conception américaine. Il est nécessaire de s'attarder sur ses prises de position car il est en quelque sorte le théoricien du courant qui rejette l'accident maximum crédible (MCA). Il exprime de façon radicale ce que d'autres ressentent encore confusément. Remarquons au passage le fait, qui peut certainement expliquer le caractère pionnier de Farmer en la matière, que l'organisation de la sûreté des débuts en Grande-Bretagne mêlait intimement médecins et techniciens. En 1955 par exemple, lors de la première conférence de Genève, Farmer n'était pas intervenu dans la session 6.2. «Reactor Safety and Location of Power Reactors», mais dans la session 18C.2, «Ecological Problems Related to Reactor Operation». Sa communication de 1955 440 , bien qu'utilisant le terme «sûreté» dans son intitulé, était en fait consacrée aux problèmes de contrôle des niveaux d'exposition des travailleurs et de la population aux radiations. Il concluait ainsi son intervention sous forme de plaidoyer en faveur du développement de l'énergie atomique, témoignant au passage du caractère pluridisciplinaire de la question en Grande-Bretagne :«Notre objectif en tant qu'ingénieurs, physiciens ou médecins, devrait être d'augmenter la connaissance et l'expérience dans le traitement et les effets de la radioactivité et d'assurer une large distribution de notre connaissance de telle sorte que l'on puisse avancer avec la confiance et la coopération de la population dans son ensemble.» 441 Dès le départ donc, il était intéressé par les deux aspects du risque, les conséquences radiologiques et les moyens de les empêcher. Farmer est l'un des premiers à avoir proposé une comparaison du risque radiologique avec les risques des diverses industries ou les autres risques généralement considérés comme raisonnables. 442
En 1958, lors de la deuxième conférence internationale de Genève, Farmer avait présenté une communication magistrale 443 où il définissait précisément le terme de risque nucléaire comme étant le produit d'une conséquence par une probabilité. Il reconnaissait que le risque zéro que la plupart de ses collègues cherchaient à obtenir était une chimère et que le but de la sûreté était de minimiser le risque.
Lors de la troisième conférence de Genève en 1964, il passe à l'offensive contre la notion d'accident maximum crédible qui tend à devenir un dogme définissant toutes les normes en matière de sûreté. Le problème sous-jacent dans la prise en compte de ces accidents à très faible probabilité est fort bien résumé par l'introduction de sa communication : des normes trop draconiennes basées sur de telles conceptions peuvent jouer le rôle de frein pour le développement de cette nouvelle énergie.
‘«Des critères de sûreté sont en train d'apparaître sous forme de guides, de recommandations et de conditions d'autorisation. Comme ces critères peuvent profondément influencer le développement des réacteurs ils ne sont pas seulement importants pour la sûreté, mais aussi pour la technologie des réacteurs dans son ensemble étant donné leurs impacts sur l'économie de l'énergie nucléaire. Il est par conséquent impératif d'établir les critères de sûreté de façon correcte. Des exigences de sûreté bien évaluées, en plus de promouvoir la sûreté, susciteront une réponse active des concepteurs et des exploitants, et ainsi aideront au développement de systèmes nouveaux, améliorés et plus économiques. Des exigences de sûreté mal choisies, trop complexes ou dépassées ne feront ni l'un ni l'autre efficacement : ils frustreront le développement des réacteurs sans réellement promouvoir la sûreté; n'entraînant pas l'adhésion, ils tendront à être évités et créeront une fausse présomption de sûreté. Dans les premières étapes de développement, quand peu de données sont disponibles, les critères de sûreté doivent être arbitrairement et inévitablement trop prudents. Trop facilement, cependant, ils peuvent alors devenir stéréotypés si les principes essentiels et les règles qui furent à l'origine déterminées par commodité ne sont pas réexaminés assez fréquemment de façon critique et imaginative.» 444 ’Selon Farmer, il ne faut pas se concentrer uniquement sur un certain nombre d'accidents hypothétiques catastrophiques, mais également sur les autres types d'incidents dont la probabilité peut être plus élevée. Farmer développe l'idée que l'essentiel du travail d'évaluation de la sûreté d'un réacteur consiste dans l'évaluation et la confirmation des valeurs calculées des paramètres importants. Il déplore que, bien souvent, tout ce travail soit masqué par l'étendue des accidents majeurs. Au contraire, «afin d'exploiter un réacteur de façon sûre, il est nécessaire d'explorer les effets de défaillances mineures qui sont plus susceptibles de se produire en fonctionnement normal.» 445
L'adoption du concept d'accident maximum croyable est en quelque sorte une question politique : les dirigeants ont besoin de certitudes et de critères chiffrés pour prendre des décisions. «Beaucoup de ceux qui au gouvernement ou dans l'industrie doivent prendre des décisions dans ce domaine, ont besoin de connaître les résultats des études d'accidents, mais peu ont le temps, et peu ont la connaissance et la pratique spécialisées, pour lire et juger de façon critique un rapport de sûreté entier. Ceci a conduit à la recherche d'une sorte de mesure de la sûreté et à l'adoption de l'accident maximal crédible comme concept qui devait être évalué, exprimé comme un nombre et utilisé dans les procédures formelles.» 446
Si cette méthode est utile pour les décideurs, elle n'est pas satisfaisante d'un point de vue méthodologique car les valeurs numériques qui résultent d'une telle étude ne peuvent être d'aucune utilité. Celles-ci postulent en effet que toutes les séquences menant à un accident sont équiprobables quels que soient les systèmes, ce qui est loin d'être le cas. Cette approche n'apporte d'ailleurs aucune aide dans la comparaison de la sûreté de réacteurs de types différents. Mais Farmer ne remet pas en cause pour autant l'intérêt de mener des études sur les grands accidents, en particulier comme outils pour identifier les paramètres clés et les caractéristiques critiques, ou pour promouvoir des recherches qui améliorent la sûreté intrinsèque ou les systèmes de protection.
Farmer poursuit sa critique de ce qui est en fait le fonctionnement du système américain , l'étude d'un certain nombre d'accidents dits «de référence», choisis de façon plus ou moins arbitraire. Pour chacun de ces accidents, on calcule toutes les conséquences radiologiques à l'intérieur de l'installation et à l'extérieur, en des points critiques comme les agglomérations, et l'on s'assure que certains dispositifs de sécurité et de confinement limitent les conséquences à des valeurs négligeables. Farmer s'insurge contre cette vision de la sûreté qu'il qualifie «d'administrative», qui ne peut que décourager les vrais efforts en faveur de son amélioration. «Le problème de l'évaluation de la sûreté relative d'un réacteur est complexe et difficile. Mais une méthode doit être inventée pour que les exigences pour l'implantation et l'exploitation puissent être saisies de façon logique. Dans une telle situation il y a besoin de vigilance pour éviter d'être conduit par des pressions de commodité administrative ou réglementaire à produire des formules ou des règles facilement manipulables à l'aune desquelles la sûreté serait testée. Quand cela se produit, les efforts des concepteurs et des exploitants sont dirigés vers la conformité avec ces seules exigences, et toute réflexion plus profonde sur l'effet de leurs efforts sur la sûreté réelle, la sûreté fondamentale pourrait bien être négligée.» 447
Farmer dénonce une évolution en cours aux Etats-Unis tendant à figer un certain nombres de règles, ce qui s'apparente aux excès d'une réglementation administrative, par opposition à une vision plus souple, plus «libérale» de la sûreté défendue par Farmer. Il faut noter cependant que cette évolution dans le sens d'une réglementation plus affirmée est en grande partie le fruit des pressions des industriels américains demandant que les exigences de sûreté soient clairement consignées, dûment formulées comme règlements auxquels ils pourront se référer dans la conception de leurs installations. Cette démarche entraînera aux Etats-Unis la promulgation d'une foule de textes réglementaires qui seront autant d'entraves que les exploitants dénonceront par la suite comme «bureaucratiques», ce que résume parfaitement la formule d'un des successeurs de Bourgeois : «Devant la montée des demandes des spécialistes de la sûreté, les concepteurs et les réalisateurs, telles des grenouilles qui demandent un roi, ont été les premiers à demander de figer les règles, de «baliser le champ de mines»; ils ont été servis, tout particulièrement aux Etats-Unis.»448
Même si, comme nous le verrons, il ne reprend pas toutes les conclusions de Farmer, Bourgeois est en accord avec la méthode consistant à ne pas focaliser l'analyse sur un certain nombre d'accidents mais à évaluer le détail des mesures prises pour les éviter. C'est ce que montre un article de décembre 1964 où Bourgeois livre «quelques remarques sur la sécurité des réacteurs» : «L'amélioration de la sûreté des réacteurs résultera de plus en plus d'un examen détaillé des précautions prises et du bon fonctionnement du matériel employé. Il n'est pas besoin de dire qu'elle commence à être sérieusement confirmée par l'expérience ; rappelons le chiffre cité de 1.000 ans d'expérience de fonctionnement répartis sur 246 réacteurs de puissance.»
Bourgeois se démarque cependant de la vision libérale de Farmer, qui s'oppose aux excès d'une réglementation administrative dont il dénonce l'absence de logique. Bourgeois prône l'analyse technique des différentes situations incidentelles et accidentelles, et c'est cette analyse qui doit déterminer l'attitude des experts (L'administration responsable de la sûreté en France en 1964 n'a pas encore édicté de règles à suivre) :«Les incidents mineurs répétés ne mettent pas en danger les populations, mais grèvent trop le facteur de charge pour qu'on ne puisse faire appel de ce côté à la sagesse de l'exploitant. Par contre, les accidents majeurs possibles ne sont pas encore suffisamment connus pour que l'on considère leur étude comme terminée - celle-ci a d'ailleurs souvent montré qu'ils pouvaient être moins graves que prévu et bien contrôlés - ou qu'on supprime les enceintes avant d'avoir tenté de les intégrer économiquement dans la construction du réacteur.» 449 S'occuper en particulier de ces accidents majeurs, dont les industriels ont tendance à estimer qu'ils sont hypothétiques, et des dispositions pour leur faire face et que certains jugent d'ores et déjà superflues, est encore d'actualité, et c'est le rôle particulier de la sûreté. La prudence doit encore être de mise.
Il faut rendre justice aux ingénieurs américains qui ne sont pas poussés uniquement par des pressions politiques ou administratives. Dans l'esprit des hommes de la sûreté aux Etats-Unis, être prémuni contre les «accidents maximaux prévisibles» doit permettre de l'être contre des accidents de moindre importance. C'est ce qu'explique l'un des pères de la sûreté aux Etats-Unis, et donc dans le monde, Clifford Beck, lors des débats de la conférence de Genève : «Les études de sécurité ont montré que pour la plupart des réacteurs à eau les accidents les plus graves, contre lesquels il faut disposer de systèmes de sécurité permettant de limiter les conséquences, sont les accidents de perte de réfrigérant. Ces accidents sont ceux que l'on considère également pour décider si un site est adéquat. S'il y a une protection suffisante contre ces accidents «maximaux prévisibles» avec de tels réacteurs, il y aura aussi une protection suffisante du public contre des accidents moins graves, même s'ils sont plus probables.» 450 Cette logique apparemment incontestable sera prise en défaut lors d'un retentissant accident quelques années plus tard.
Mais il faut souligner que derrière ces problèmes de méthodologie, derrière la dénonciation par Farmer des pratiques américaines, se posent des questions très concrètes, et très politiques. Dès 1964, il s'agit pour Farmer d'adopter une méthode plus souple d'évaluation qui permette de sélectionner des sites dont les caractéristiques d'éloignement des centres urbains soient moins drastiques. Les raisons en sont claires : si l'on veut pouvoir développer un programme atomique, il faudra pouvoir disposer d'un certain nombre de sites en tenant compte du réseau de distribution électrique du pays et des coûts de transmission. Or, dans des pays densément peuplés comme la Grande-Bretagne, le Japon ou d'autres pays européens, ces exigences limitent de fait le nombre de sites envisageables pour l'implantation des réacteurs. 451
F.R. Farmer, «Safety Criteria in Atomic Energy», Proceedings of the First United Nations Conference on Peaceful Uses of Atomic Energy, Geneva, 1955, Vol. XIII, P/453, pp. 315-318.
F.R. Farmer, «Safety Criteria…», op. cit., p. 318. L'original anglais est le suivant : «Our objective as engineers, physicists and doctors should be to accrue knowledge and experience in the handling and effects of radioactivity and to ensure widespread distribution of our knowledge so that we may proceed with confidence and cooperation of the population at large.»
Margaret Gowing, dans une note, évoque sans autre précision un article de F. R. Farmer de 1954, où l'auteur examine le bilan de la sûreté de l'énergie atomique et le compare aux chiffres et aux coûts des accidents de la route, des accidents industriels etc. Cf Gowing, M., Independence and Deterrence. Britain and Atomic Energy, 1945-1952, Volume 2, Policy Execution, Macmillan, London, 1974, p. 91.
Farmer, F. R., Fletcher, P. T., Fry, T. M., «Safety Considerations for Gas Cooled Thermal Reactors of the Calder Hall Type», Proceedings of the Second International Conference on Peaceful Uses of Atomic Energy, Geneva, 1958, P/2331, Vol. 11, pp. 202-215, United Nations, New-York, 1959.
Farmer, F. R., «Reactor Safety Analysis as related to Reactor Siting», Proceedings of The Third International Conference on Peaceful Uses of Atomic Energy, United Nations, Geneva, 1964, P/182, pp. 405-409.
L'original anglais est le suivant : «Safety criteria are beginning to emerge in the form of guides, recommendations and licence requirements. As these criteria can profoundly influence the development of the reactor systems they are important not only to safety, but to reactor technology as a whole on account of their impacts on the economics of nuclear power. It is imperative, therefore, to get safety criteria right. Well-judged safety requirements, besides promoting safety, will evoke an active response from designers and operators, and thus will help in the development of new, improved and more economic systems. Ill-chosen, over-complex or out-of-date safety requirements will do neither effectively : they will frustrate the development of a reactor system without really promoting safety; not carrying conviction, they will tend to be evaded and will create a false presumption of safety. In the early stages of development, when few data are available, some safety criteria must be arbitrary and inevitably over-cautious. Only too easy, however, they can then become stereotyped if the essential principles and the rules originally determined by convenience are not clearly distinguished and if they are not critically and imaginatively re-examined quite frequently.»
«In order to operate a reactor safely, it is necessary to explore the effects of minor disturbances which are likely to occur during normal operation.»
«Many in government and industry who are concerned with these decisions need to know the results of accident studies, but few have the time, and few the specialised knowledge and training, to read and critically appraise a full safety report. This has led to a search for some yardstick of reactor safety and to the adoption of the «maximum credible accident» as a concept which might be evaluated, expressed as a number and used in formal procedures.»
«The problem of assessing the relative safety of a reactor is complex and difficult. But some method has to be devised to that siting and operating requirements may be tackled logically. In such a situation there is need for vigilance to avoid being driven by pressures of administrative and legislative convenience to produce readily manipulated formulae or rules against which reactor safety is to be tested. Once this happens the efforts of designers and operators are directed to compliance with just those requirements, and further thought on the effect or their efforts on real and fundamental safety may well be neglected.»
Cogné, François, «Evolution de la sûreté nucléaire», RGN, N°1, janvier-février, 1984, pp. 18-32, p. 21.
J. Bourgeois, «Quelques remarques sur la sécurité des réacteurs», Energie Nucléaire, vol. 6 N°8, décembre 1964, pp. 494-499, p. 499.
C.K. Beck, Discussion du mémoire P/275, p. 478 : C.K. Beck, «US reactor experience and power reactor siting», Proceedings of the Third International Conference on Peaceful Uses of Atomic Energy, United Nations, Geneva, 1964, pp. 353-359.
«In densely populated countries such as the UK and many other European countries and Japan, these requirements alone limit, the degree of the areas available for reactor siting.», F.R. Farmer, «Reactor Safety …», op. cit., p. 408.