13.3.2. Experts de sûreté contre exploitants : qui avait raison ?

Le choc est en effet plus rude chez les exploitants : jusque-là, chez EDF comme chez les autres concepteurs et exploitants dans le monde, le sentiment dominant qui s'était installé était que le niveau de sûreté atteint était suffisant, à tel point que jusqu'à TMI il était considéré comme «sacrilège» de parler de fusion du cœur. Parler d'un accident au-delà des accidents pris en compte dans le dimensionnement était un «sujet tabou». Mis à part peut-être les experts des organismes de sûreté dont c'est la fonction entre autres d'envisager le pire, la plupart des ingénieurs du nucléaire en étaient venus à penser que la fusion du cœur, finalement, était un événement hypothétique dont on n'avait pas à se préoccuper directement.

On peut affirmer que s'était installé un climat psychologique chez ces ingénieurs qui faisait que dans le fond, personne ne pensait qu'il pouvait y avoir un accident nucléaire. Malgré les études probabilistes américaines faites un peu avant qui témoignaient que la probabilité de fusion du cœur n'était quand même pas tout à fait négligeable, on s'était petit à petit rassuré, suivant le penchant qui consiste à assimiler faible probabilité et probabilité nulle. Jusqu'à Three Mile Island, dans le monde entier, on avait seulement admis théoriquement que des accidents graves étaient possibles dans les centrales nucléaires. Avec TMI, on a constaté qu'ils pouvaient effectivement se produire et coûter très cher. N'avait-on pas répété à destination du public cet argument tiré des conclusions de la version simplifiée du rapport Rasmussen selon lequel un accident nucléaire avait la même probabilité que la chute d'une météorite ?

Lors de journées organisées par la Société Française d'Energie Nucléaire (SFEN) et la Société Française de Radioprotection (SFRP), le 10 juin 1981, pour dresser le bilan de la sécurité nucléaire deux après l'accident de TMI, Pierre Tanguy témoigne, devant les principaux intéressés, de ce climat de confiance qui dominait chez certains : «Il faut, je crois, reconnaître qu'avant TMI certains milieux nucléaires souffraient de ce que j'appellerai le «syndrome du météorite», par opposition au «syndrome chinois» qui sévissait sur l'autre bord. Il se trouve en effet que dans le célèbre rapport Rasmussen, l'évaluation du risque d'accident nucléaire coïncide avec celle du risque entraîné par la chute d'un gros météorite sur une zone habitée. Certains ont cru pouvoir en déduire que : «demander d'améliorer la sûreté des centrales nucléaires était aussi absurde que de doter la ville de San Diego d'un parapluie antimétéorite» ! Même s'il s'agit d'une boutade, elle reflète un état d'esprit : on en fait beaucoup pour la sûreté, peut-être trop, et les moyens disponibles seraient sans doute mieux employés ailleurs. Les exploitants eux-mêmes ne pouvaient manquer d'être influencés peu ou prou par cette attitude, et de juger eux aussi l'accident grave quasi-impossible. L'accident de TMI allait faire voler en éclats cette assurance.» ⁷⁹⁷

Nous avons là l'une des rares expressions publiques d'une dissension au sein de la communauté nucléaire, d'habitude encline à montrer un visage très consensuel dans sa communication en direction de l'extérieur. Il serait abusif de parler de revanche des spécialistes de sûreté contre EDF, car personne dans la communauté nucléaire ne pouvait se réjouir d'un accident, qui s'il confirmait certaines hypothèses, ne pouvait que nuire à l'image globale du nucléaire. Mais TMI est l'occasion pour les spécialistes de la sûreté, qui ont mené une ferme bataille contre l'exploitant pour l'amélioration de la sûreté, de rappeler qui avait raison. Pierre Tanguy, dans son article à la Revue Générale Nucléaire réitère cette critique : «Si avant le 28 mars, certains pouvaient penser que l'on en faisait trop pour la sûreté, que l'enceinte était trop épaisse, le circuit primaire trop protégé, et que cela pénalisait économiquement l'énergie nucléaire, aujourd'hui ils reconnaissent le bien-fondé de l'approche globale de sûreté.» ⁷⁹⁸

Les experts de sûreté avaient raison contre les exploitants, mais aussi contre les opposants. Raison sur la philosophie de la sûreté, mais aussi sur la nécessité d'études expérimentales. Ce champ de l'expertise plus ou moins incompris des uns et des autres est bel et bien légitime : pendant que certains vocifèrent, d'autres font œuvre utile : «Le principe même de recherches en matière de sûreté est souvent mal perçu et le bien-fondé de grands programmes dans ce domaine mis en doute. Autant l'on sait d'emblée la nécessité d'études directement applicables à des projets ou à des réalisations, autant on peut parfois se poser des questions sur l'utilité de certains programmes de sûreté destinés à explorer des accidents que l'on s'évertue à montrer par ailleurs comme hautement improbables. Les uns se demanderont pourquoi faire de telles dépenses pour des études non directement applicables, les autres diront, avec une logique imparable, que toutes ces études de sûreté doivent (ou auraient dû) être un préalable à toute réalisation. En définitive, l'absence d'accidents graves finit par rassurer tout le monde… et c'est Three Mile Island.» ⁷⁹⁹

François Cogné poursuit en expliquant pourquoi finalement on se trompait de cible : on essayait de convaincre le public par des expériences voyantes qu'il était protégé contre toutes les éventualités en étant protégé contre ce qui était supposé être le pire envisageable. Cette façon de voir présentait l'avantage pour les exploitants de limiter les études, et pour les autorités réglementaires de se couvrir. Et cette volonté de démontrer, particulièrement de mise aux Etats-Unis, orientait l'ensemble des recherches dans une voie biaisée, en se détournant des vrais phénomènes physiques.

Le bilan de l'accident est également l'occasion pour les spécialistes de sûreté français d'affirmer le bien-fondé de leurs choix en matière de programmes expérimentaux en France : «L'approche choisie en France pour définir nos programmes expérimentaux a toujours été de chercher à étudier les phénomènes physiques fondamentaux qui peuvent intervenir dans les accidents, et non de tenter des expérimentations «représentatives». Ceci suppose d'être à même de réaliser des expériences analytiques, de mettre au point des moyens d'interprétation (codes), et ensuite d'utiliser ces moyens pour les projets ou les calculs d'accidents sur les installations. Cette méthode d'approche est longue, difficile, peu démonstrative pour le public; mais elle permet de développer des connaissances applicables non seulement aux grands accidents, mais aussi à l'ensemble des études des différentes conditions de fonctionnement des installations.» ⁸⁰⁰ L'une des questions soulevée par l'accident de TMI est celle de la réorientation des études de sûreté mais également de l'affirmation de leur nécessité.

Pour les spécialistes de la sûreté, l'accident de TMI marque en effet la confirmation de la justesse de leurs options, qui demandaient depuis WASH 1400 qu'on ne se limite pas à l'étude des accidents de dimensionnement mais qu'on aille au-delà, en s'appuyant pour cela sur des études probabilistes : qu'un plus grand spectre d'accidents soit pris en compte, aussi bien les accidents moins graves mais plus fréquents que les moins fréquents mais plus graves. Les techniciens de l'IPSN peuvent proclamer que leur activité, à la différence de certaines accusations portées par les industriels, n'est pas un jeu de physiciens de salon, intéressés par des questions académiques, intellectuelles et déconnectées des réalités du terrain, mais bien une question fondamentale : les accidents graves doivent être pris en compte et on doit assurer leur gestion s'ils venaient à se produire.

Par là, les spécialistes de sûreté justifient leur existence en tant que groupe indépendant d'expertise, et force est de reconnaître que ce regard particulier, principalement axé sur les impératifs de sûreté, détaché de l'impératif immédiat de production ou de réalisation d'un programme (vision distincte de l'exploitant), mais également peu sensible à la pression de l'opinion (à la différence de l'autorité réglementaire) l'ont mis en position d'adopter en matière de sûreté une stratégie qui a été confirmée par les événements. Autrement dit, ils avaient raison. Mais les remarques des dirigeants de l'IPSN témoignent également, à contrario, du fait qu'il ne suffit pas d'avoir raison pour convaincre ou, ce qui est plus important, pour faire que des idées justes rentrent en pratique. Pour cela il faut un rapport de force suffisant pour que l'exploitant accepte de se soumettre à ces exigences. On ne peut que prendre acte du fait que le service central et son appui ne disposaient pas avant TMI du poids suffisant.

La position juste prise par l'IPSN justifie aux yeux de ses dirigeants l'organisation française du contrôle de la sûreté qui distingue les trois types d'organisation : l'organisation industrielle (les promoteurs), l'organisation administrative (les contrôleurs), et l'organisation scientifique (l'expert), qui sont en principe séparées dans le cas français. En particulier, cela légitime cette volonté défendue par les dirigeants successifs en charge au CEA de la sûreté que cette organisation chargée de l'expertise technique reste une organisation de type scientifique. Dans ce type d'organisation en effet, les discussions ont lieu librement en interne, le niveau de compétence scientifique est élevé et s'alimente des recherches les plus récentes. C'est pourquoi ils plaident pour que l'IPSN reste rattaché à ce vaste centre de recherches qu'est le CEA. La logique d'une organisation administrative (qui doit appliquer les règlements au nom de l'Etat) ou d'une organisation industrielle (qui doit produire), ne peut souffrir ou se permettre la même liberté de pensée, de recherche. ⁸⁰¹

En tout cas, le climat qui régnait avant Three Mile Island explique le choc ressenti par ces ingénieurs à l'annonce de l'accident : même si certains relativisent cette mauvaise surprise en montrant que les conséquences ont somme toutes été faibles, que l'accident de TMI est un accident de refroidissement, donc un accident se situant dans la gamme des accidents pour lesquels les ingénieurs étaient formés, ils reconnaissent le choc qu'ils ont éprouvé : malgré toutes les mesures préventives ou curatives imaginées, l'accident s'est produit, ce qui a réellement accrédité le fait que l'ensemble des dispositions de sûreté devait être absolument respecté dans sa philosophie d'ensemble.

Pour tous en effet, la philosophie de la sûreté globale s'est révélée efficace. Tanguy constate que l'objectif de la sûreté a bien été atteint car le confinement a effectivement protégé les populations et même le personnel de la centrale : «les fondements mêmes de la sûreté, le principe des barrières et ce que les Américains appellent «la défense en profondeur», ne sont pas remis en cause. On savait que l'analyse de sûreté sera toujours incapable de tout prévoir, et notamment les erreurs humaines, et les mesures ultimes de sauvegarde sot justement là pour faire face à ces situations non prévues. A TMI seule la première barrière, la gaine, a été gravement affectée, mais les deux autres, l'enveloppe du circuit et l'enceinte de confinement, après des défaillances limitées et momentanées, ont retrouvé leur étanchéité. Il faut donc maintenir ce concept global de la sûreté.» ⁸⁰²

L'enceinte de confinement, dont l'existence pouvait être contestée par certains milieux industriels, a fait la preuve de son utilité : au cours de l'accident de TMI, elle a effectivement joué son rôle de barrière ultime contre la dispersion de produits radioactifs dans l'atmosphère. A l'intérieur du bâtiment réacteur, régnait une concentration de radioactivité colossale. Si elle n'avait pas été retenue par l'enceinte, les conséquences auraient sans aucun doute été catastrophiques. 2 400 m3 d'eau ont recouvert le fond du bâtiment, soit une profondeur de 2 mètres, à 800 000 curies par m3. Un instrument de mesure en haut du bâtiment a indiqué un débit de dose de 30 000 rad par heure : un être humain recevrait la dose maximale admissible pour une année en moins d'un dixième de seconde, une dose mortelle en une à deux minutes. ⁸⁰³

Du côté des promoteurs de l'énergie nucléaire, on utilise l'argument de l'efficacité des barrières et en particulier de l'enceinte ultime pour montrer que même en cas d'accident, les parades avaient été prévues et ont fonctionné. Sur la base de cette analyse, l'assurance revient : l'accident le plus grave, la fusion du cœur, n'a pas entraîné de rejets. TMI apporte la preuve de l'innocuité de cette forme d'énergie.

Ceci étant, l'accident de Three Mile Island va avoir des conséquences importantes sur l'approche globale de la sûreté. Les principales évolutions ⁸⁰⁴ vont concerner l'attention accrue portée à la sûreté en exploitation, la réflexion sur les accidents graves au-delà des accidents de dimensionnement, et la recherche et l'analyse des incidents significatifs susceptibles d'être les précurseurs d'accidents graves.