{"id":7321,"date":"2026-09-16T19:21:43","date_gmt":"2026-09-16T19:21:43","guid":{"rendered":"http:\/\/french.arabpsychology.com\/experiments\/analyse-erreur-humaine-three-mile-island\/"},"modified":"2026-09-16T19:21:43","modified_gmt":"2026-09-16T19:21:43","slug":"analyse-erreur-humaine-three-mile-island","status":"publish","type":"psych_experiment","link":"https:\/\/french.arabpsychology.com\/?psych_experiment=analyse-erreur-humaine-three-mile-island","title":{"rendered":"L’analyse de l’erreur humaine de Three Mile Island – Un champ d’\u00e9tude cons\u00e9cutif \u00e0 l’\u00e9v\u00e9nement"},"content":{"rendered":"

Le 28 mars 1979, \u00e0 04 h 00 du matin, l’unit\u00e9 num\u00e9ro deux de la centrale nucl\u00e9aire de Three Mile Island<\/a> (TMI-2), situ\u00e9e sur la rivi\u00e8re Susquehanna pr\u00e8s de Harrisburg en Pennsylvanie, subissait une banale d\u00e9faillance dans son circuit secondaire d’eau d’alimentation. Moins de cent vingt minutes plus tard, cette anomalie m\u00e9canique ordinaire avait d\u00e9g\u00e9n\u00e9r\u00e9 en une crise thermohydraulique sans pr\u00e9c\u00e9dent, menant \u00e0 la fusion partielle du c\u0153ur du r\u00e9acteur et lib\u00e9rant des gaz radioactifs dans l’atmosph\u00e8re. Pendant plusieurs jours, l’Occident retint son souffle face \u00e0 l’effondrement potentiel d’une installation industrielle per\u00e7ue jusqu’alors comme le summum de l’ing\u00e9nierie moderne. Pourtant, lorsque les ing\u00e9nieurs et les instances gouvernementales purent enfin p\u00e9n\u00e9trer au c\u0153ur des donn\u00e9es de la catastrophe, ils ne d\u00e9couvrirent point une d\u00e9faillance m\u00e9tallurgique apocalyptique ou un cataclysme naturel, mais une succession dramatique de d\u00e9cisions humaines, de diagnostics erron\u00e9s et d’incompr\u00e9hensions cognitives profondes.<\/p>\n

L’accident de Three Mile Island a constitu\u00e9 une v\u00e9ritable rupture \u00e9pist\u00e9mologique dans l’histoire des technologies \u00e0 haut risque. Jusqu’\u00e0 cette date fatidique, la s\u00fbret\u00e9 nucl\u00e9aire reposait presque exclusivement sur des postulats d\u00e9terministes et probabilistes ax\u00e9s sur la robustesse m\u00e9canique des composants : cuves en acier forg\u00e9, redondance des circuits de tuyauterie, triplement des capteurs physiques et barri\u00e8res physiques herm\u00e9tiques. L’op\u00e9rateur humain, confin\u00e9 dans un statut d’ex\u00e9cutant passif de protocoles pr\u00e9\u00e9tablis, \u00e9tait largement appr\u00e9hend\u00e9 comme un composant fiable ou, \u00e0 d\u00e9faut, comme une variable n\u00e9gligeable face \u00e0 l’infaillibilit\u00e9 pr\u00e9sum\u00e9e de l’automatisation. L’effondrement op\u00e9rationnel de TMI-2 a pulv\u00e9ris\u00e9 cette illusion technologique en d\u00e9montrant avec une brutalit\u00e9 implacable que les machines les plus sophistiqu\u00e9es restent indissociables des syst\u00e8mes sociotechniques et des repr\u00e9sentations cognitives des individus qui les exploitent.<\/p>\n

Cet article propose une dissection acad\u00e9mique et exhaustive de la m\u00e9tamorphose conceptuelle engendr\u00e9e par Three Mile Island. En analysant la gen\u00e8se industrielle de l’\u00e9v\u00e9nement, la chronologie fine des pannes m\u00e9caniques et des m\u00e9prises diagnostiques, la d\u00e9gradation de l’ergonomie physique et s\u00e9miotique des salles de commande, ainsi que les dynamiques psychologiques et organisationnelles en jeu, nous mettrons en lumi\u00e8re la mani\u00e8re dont un accident industriel a catalys\u00e9 l’\u00e9mergence des facteurs humains comme discipline scientifique autonome. De l’av\u00e8nement des mod\u00e8les cognitifs de Jens Rasmussen et James Reason jusqu’\u00e0 la refonte contemporaine des interfaces homme-machine face aux d\u00e9fis de l’intelligence artificielle, Three Mile Island demeure la matrice intellectuelle d’o\u00f9 est issue notre compr\u00e9hension moderne de la fiabilit\u00e9 humaine et de la r\u00e9silience organisationnelle.<\/p>\n

1. Introduction et gen\u00e8se contextuelle de l’accident de Three Mile Island<\/h2>\n

1.1 Le contexte technologique et industriel de l’\u00e9nergie nucl\u00e9aire en 1979<\/h3>\n

\u00c0 la fin des ann\u00e9es 1970, l’industrie nucl\u00e9aire commerciale mondiale traverse une phase d’expansion quantitative sans pr\u00e9c\u00e9dent. Sous l’impulsion des chocs p\u00e9troliers successifs de 1973 et 1979, les nations industrialis\u00e9es, emmen\u00e9es par les \u00c9tats-Unis, investissent massivement dans les r\u00e9acteurs de deuxi\u00e8me g\u00e9n\u00e9ration, principalement de la fili\u00e8re \u00e0 eau pressuris\u00e9e (PWR, pour Pressurized Water Reactor<\/em>). Les unit\u00e9s construites, dont la puissance \u00e9lectrique d\u00e9passe fr\u00e9quemment les 900 m\u00e9gawatts, incarnent l’apog\u00e9e d’une foi in\u00e9branlable dans le progr\u00e8s technologique. Cette p\u00e9riode se caract\u00e9rise par la domination \u00e9crasante d’un paradigme de conception purement d\u00e9terministe. Les doctrines de s\u00fbret\u00e9 alors en vigueur, incarn\u00e9es par les r\u00e8gles de la Nuclear Regulatory Commission<\/a> (NRC) am\u00e9ricaine, postulent qu’en dimensionnant les structures pour r\u00e9sister aux accidents maximaux plausibles \u2014 tels que la rupture brutale d’une conduite primaire principale (l’accident de perte de r\u00e9frig\u00e9rant primaire ou LOCA<\/em>) \u2014, l’installation sera intrins\u00e8quement prot\u00e9g\u00e9e contre tout \u00e9v\u00e9nement de moindre gravit\u00e9.<\/p>\n

Dans ce sch\u00e9ma m\u00e9caniste, l’humain n’est mod\u00e9lis\u00e9 que de fa\u00e7on p\u00e9riph\u00e9rique. Les analyses de s\u00e9curit\u00e9 int\u00e8grent l’op\u00e9rateur comme un relais d’ex\u00e9cution d\u00e9terministe, dot\u00e9 d’une fiabilit\u00e9 calcul\u00e9e selon des mod\u00e8les de fiabilit\u00e9 des composants mat\u00e9riels. On pr\u00e9sume que face \u00e0 une anomalie, l’exploitant suivra \u00e0 la lettre des proc\u00e9dures rigides fond\u00e9es sur l’identification s\u00e9quentielle de pannes isol\u00e9es. Parall\u00e8lement, l’introduction balbutiante des premiers calculateurs et des automatismes de d\u00e9clenchement d’urgence nourrit l’illusion que le facteur humain est progressivement \u00e9limin\u00e9 de l’\u00e9quation s\u00e9curitaire. La machine, dot\u00e9e d’une logique binaire r\u00e9put\u00e9e infaillible, est programm\u00e9e pour prendre le relais de l’homme en cas de crise, r\u00e9duisant le r\u00f4le des \u00e9quipes de quart \u00e0 une simple t\u00e2che de surveillance passive en conditions nominales, sans anticiper les conflits d’arbitrage que l’automatisation incompl\u00e8te ne manquerait pas de provoquer.<\/p>\n

1.2 L’av\u00e8nement d’une crise syst\u00e9mique : rupture du paradigme ing\u00e9nieur<\/h3>\n

L’accident du 28 mars 1979 vient percuter violemment ce mod\u00e8le intellectuel. Loin de correspondre au sc\u00e9nario classique de la rupture cataclysmique d’une tuyauterie majeure que les ing\u00e9nieurs avaient anticip\u00e9e par des syst\u00e8mes de redondance massifs, l’\u00e9v\u00e9nement initial de TMI-2 consiste en une micro-d\u00e9faillance thermodynamique, combin\u00e9e \u00e0 une anomalie banale d’ouverture de vanne. La crise qui s’ensuit ne r\u00e9sulte pas de la violence physique de l’incident, mais de la confrontation directe entre la complexit\u00e9 syst\u00e9mique d’une installation thermohydraulique et les limites fondamentales de l’appareil cognitif humain plac\u00e9 en situation de stress et d’asym\u00e9trie d’information. Les op\u00e9rateurs se retrouvent plong\u00e9s dans une boucle dynamique non anticip\u00e9e par les guides de conduite, o\u00f9 les r\u00e9ponses m\u00e9caniques du syst\u00e8me contredisent frontalement leurs intuitions et leurs apprentissages th\u00e9oriques.<\/p>\n

Cette confrontation r\u00e9v\u00e8le des faiblesses structurelles profondes au sein des manuels de conception eux-m\u00eames. Les ing\u00e9nieurs concepteurs de la chaudi\u00e8re, issus de la firme Babcock & Wilcox, avaient con\u00e7u l’installation selon des \u00e9quations d’\u00e9tat stables, sans mesurer que la r\u00e9alit\u00e9 op\u00e9rationnelle confronterait les exploitants \u00e0 des r\u00e9gimes d’\u00e9bullition diphasique (m\u00e9lange complexe d’eau liquide et de vapeur) instables et trompeurs. L’accident de Three Mile Island marque ainsi l’\u00e9chec cuisant du mod\u00e8le de l’ing\u00e9nieur d\u00e9miurge. En l’espace de quelques heures, la communaut\u00e9 scientifique internationale est contrainte de requalifier ce qui apparaissait initialement comme une s\u00e9rie d’incidents techniques mineurs en une d\u00e9faillance sociotechnique globale, d\u00e9montrant que la vuln\u00e9rabilit\u00e9 ultime d’une centrale nucl\u00e9aire ne r\u00e9side pas dans l’\u00e9paisseur de son acier de confinement, mais dans la fragilit\u00e9 du couplage entre l’op\u00e9rateur, son interface et son organisation.<\/p>\n

1.3 Objectifs et port\u00e9e de l’analyse r\u00e9trospective des facteurs humains<\/h3>\n

L’onde de choc m\u00e9thodologique provoqu\u00e9e par TMI conduit la recherche industrielle \u00e0 abandonner d\u00e9finitivement l’approche simpliste de la \u00ab faute de l’op\u00e9rateur \u00bb. Durant des d\u00e9cennies, la r\u00e9ponse institutionnelle aux dysfonctionnements techniques consistait \u00e0 imputer la responsabilit\u00e9 du sinistre \u00e0 l’inattention, \u00e0 la fatigue ou \u00e0 l’incomp\u00e9tence des \u00e9quipes de premi\u00e8re ligne, cl\u00f4turant commod\u00e9ment les enqu\u00eates par des sanctions disciplinaires individuelles. Three Mile Island a constitu\u00e9 le catalyseur intellectuel d’un renversement copernicien : au lieu de consid\u00e9rer l’erreur humaine comme la cause racine du drame, les analystes ont commenc\u00e9 \u00e0 la consid\u00e9rer comme le sympt\u00f4me visible de d\u00e9faillances syst\u00e9miques latentes r\u00e9parties dans l’ensemble de l’\u00e9cosyst\u00e8me technique, r\u00e9glementaire et ergonomique.<\/p>\n

D\u00e8s lors, l’objectif fondamental de l’analyse r\u00e9trospective des facteurs humains devient d’\u00e9lucider pourquoi les actions des op\u00e9rateurs, r\u00e9trospectivement qualifi\u00e9es de d\u00e9sastreuses par les observateurs ext\u00e9rieurs, leur ont sembl\u00e9 totalement rationnelles, sens\u00e9es et prudentes au moment pr\u00e9cis o\u00f9 ils les posaient. Cette posture \u00e9pist\u00e9mologique exige l’\u00e9tablissement d’une m\u00e9thodologie d’analyse cognitive rigoureuse a posteriori, capable de reconstruire l’univers informationnel des op\u00e9rateurs, leurs repr\u00e9sentations mentales, leurs contraintes temporelles et leurs m\u00e9canismes de d\u00e9cision sous une anxi\u00e9t\u00e9 aigu\u00eb. Ce basculement a favoris\u00e9 l’hybridation f\u00e9conde entre la psychologie cognitive appliqu\u00e9e, l’ergonomie des syst\u00e8mes complexes et la sociologie des organisations, hissant les facteurs humains du rang de discipline corrective secondaire \u00e0 celui de pierre angulaire de la s\u00fbret\u00e9 industrielle contemporaine.<\/p>\n

2. Chronologie critique de l’incident et d\u00e9faillances initiales<\/h2>\n

2.1 L’\u00e9l\u00e9ment d\u00e9clencheur et la cascade de dysfonctionnements m\u00e9caniques<\/h3>\n

La chronologie de Three Mile Island s’enclenche avec une rigueur implacable \u00e0 04 h 00 min 37 s. Dans le b\u00e2timent turbine, une banale tentative de d\u00e9bouchage d’un syst\u00e8me d’\u00e9puration des condensats (les r\u00e9sines de polissage du circuit secondaire) entra\u00eene l’introduction accidentelle d’une petite quantit\u00e9 d’eau dans le circuit d’air comprim\u00e9 instrument\u00e9. Cet incident mineur provoque l’arr\u00eat automatique des pompes d’alimentation principale du circuit secondaire. Conform\u00e9ment aux s\u00e9quences logiques de sauvegarde, la turbine \u00e9lectrique se d\u00e9clenche imm\u00e9diatement, suivie par le d\u00e9marrage automatique des trois pompes d’alimentation en eau de secours auxiliaires. Toutefois, les vannes d’isolement de ces pompes de secours avaient \u00e9t\u00e9 laiss\u00e9es en position ferm\u00e9e lors d’une op\u00e9ration de maintenance deux jours auparavant, en violation flagrante des sp\u00e9cifications techniques d’exploitation, privant ainsi temporairement les g\u00e9n\u00e9rateurs de vapeur de toute source de refroidissement.<\/p>\n

Priv\u00e9 de puits de chaleur secondaire pour \u00e9vacuer son \u00e9nergie calorifique, le circuit primaire d’eau pressuris\u00e9e voit sa temp\u00e9rature et sa pression s’\u00e9lever de fa\u00e7on fulgurante. En r\u00e9ponse \u00e0 cette surpression, le syst\u00e8me automatique ordonne l’ouverture de la soupape de d\u00e9charge pilot\u00e9e du pressuriseur (d\u00e9nomm\u00e9e PORV<\/em> pour Pilot-Operated Relief Valve<\/em>) situ\u00e9e au sommet de ce composant cl\u00e9 charg\u00e9 de r\u00e9guler la pression primaire. Dans le m\u00eame temps, le r\u00e9acteur s’arr\u00eate automatiquement par chute gravitaire de ses barres de contr\u00f4le (arr\u00eat d’urgence ou scram<\/em>). La pression primaire entame alors une d\u00e9croissance salutaire. Cependant, \u00e0 04 h 00 min 49 s, lorsque la pression redescend sous le seuil de consigne m\u00e9canique, le signal \u00e9lectrique de refermeture est bien envoy\u00e9 \u00e0 la vanne PORV, mais celle-ci reste physiquement coinc\u00e9e en position ouverte en raison d’une d\u00e9faillance de son m\u00e9canisme \u00e0 ressort. Pire encore, aucun capteur physique ne surveille la position m\u00e9canique r\u00e9elle de la tige de soupape, initiant une fuite continue de fluide caloporteur qui restera m\u00e9connue pendant plus de deux heures et vingt minutes.<\/p>\n

2.2 La boucle de r\u00e9troaction erron\u00e9e et les diagnostics initiaux<\/h3>\n

La persistance de l’ouverture de la soupape PORV transforme une simple perte d’\u00e9vacuation de chaleur en une br\u00e8che primaire non isol\u00e9e, une petite br\u00e8che de type LOCA<\/em>. La pression du circuit primaire continue de chuter brutalement. \u00c0 04 h 02 min 01 s, la baisse de pression atteint le seuil d’intervention automatique du syst\u00e8me d’injection de s\u00e9curit\u00e9 haute pression (HPSI, pour High Pressure Safety Injection<\/em>). Deux pompes massives commencent \u00e0 injecter des centaines de litres d’eau boriqu\u00e9e froide par minute dans le c\u0153ur pour compenser l’inventaire d’eau primaire et maintenir le r\u00e9acteur sous eau. C’est \u00e0 ce point pr\u00e9cis que le drame cognitif se noue. Les op\u00e9rateurs constatent sur leurs tableaux de bord une anomalie qui heurte de plein fouet leur formation acad\u00e9mique : alors que la pression du circuit primaire s’effondre de mani\u00e8re alarmante, le niveau d’eau mesur\u00e9 \u00e0 l’int\u00e9rieur du pressuriseur s’\u00e9l\u00e8ve rapidement, atteignant bient\u00f4t le haut de l’\u00e9chelle de mesure.<\/p>\n

Selon les enseignements intransigeants re\u00e7us par les exploitants de la part de l’exploitant Metropolitan Edison<\/a> et du constructeur Babcock & Wilcox, le pressuriseur ne devait sous aucun pr\u00e9texte \u00ab devenir plein d’eau \u00bb (situation qualifi\u00e9e de r\u00e9acteur solid<\/em>). Si le pressuriseur se remplissait totalement d’eau liquide incompressible, le contr\u00f4le de la pression devenait impossible, risquant de provoquer la fissuration catastrophique de la cuve sous l’effet des coups de b\u00e9lier hydrauliques. Face \u00e0 cette mont\u00e9e continue du niveau per\u00e7u, les op\u00e9rateurs posent un diagnostic erron\u00e9 mais logique dans leur cadre de r\u00e9f\u00e9rence : ils concluent que le circuit primaire contient un exc\u00e9dent d’eau massif. \u00c0 04 h 04 min 38 s, ils r\u00e9duisent manuellement le d\u00e9bit d’injection de s\u00e9curit\u00e9 \u00e0 un strict minimum, puis finissent par l’interrompre presque totalement. En r\u00e9alit\u00e9, le niveau du pressuriseur montait non parce que le r\u00e9acteur \u00e9tait plein d’eau, mais parce que la br\u00e8che au sommet du pressuriseur cr\u00e9ait une d\u00e9pressurisation violente, entra\u00eenant l’\u00e9bullition massive de l’eau dans les zones chaudes et la formation d’une immense poche de vapeur dans la cuve, qui refoulait l’eau liquide vers le pressuriseur. L’injection d’eau \u00e9tait ainsi coup\u00e9e au moment exact o\u00f9 elle \u00e9tait le plus vitalement requise.<\/p>\n

2.3 La d\u00e9rive temporelle de la gestion de crise<\/h3>\n

Pendant plus de cent minutes d’une lente d\u00e9rive thermique, l’\u00e9quipe de quart navigue \u00e0 l’aveugle dans une incompr\u00e9hension physique totale. Pensant pr\u00e9server l’installation d’un trop-plein d’eau, ils continuent d’\u00e9vacuer du caloporteur primaire en purgeant le pressuriseur, accentuant le d\u00e9noyage inexorable du combustible nucl\u00e9aire. Vers 05 h 15, les quatre pompes de circulation primaire principales se mettent \u00e0 vibrer violemment en raison de ph\u00e9nom\u00e8nes de cavitation d\u00e9vastateurs : elles pompent d\u00e9sormais un m\u00e9lange d’eau et de bulles de vapeur qui d\u00e9truit leurs roulements m\u00e9caniques. Craignant leur destruction pure et simple, les op\u00e9rateurs d\u00e9cident de les arr\u00eater manuellement l’une apr\u00e8s l’autre, pensant que la circulation thermosiphon naturelle suffira \u00e0 \u00e9vacuer la puissance r\u00e9siduelle du c\u0153ur. Cet arr\u00eat fige la circulation du fluide et scelle le destin du c\u0153ur du r\u00e9acteur : priv\u00e9 de d\u00e9bit forc\u00e9, l’eau r\u00e9siduelle stagne et commence \u00e0 bouillir vigoureusement.<\/p>\n

\u00c0 partir de 05 h 45, la partie sup\u00e9rieure des assemblages de combustible se retrouve \u00e9merg\u00e9e, \u00e0 l’air libre dans une atmosph\u00e8re de vapeur surchauff\u00e9e atteignant plus de 1 200 \u00b0C. La r\u00e9action exothermique entre la vapeur d’eau et le gainage en alliage de zirconium (zircaloy) s’enclenche, produisant d’immenses volumes d’hydrog\u00e8ne inflammable et provoquant la dislocation m\u00e9canique des crayons de combustible. Les d\u00e9tecteurs de rayonnements gamma de l’enceinte de confinement s’affolent, signalant la rupture des premi\u00e8res barri\u00e8res de s\u00fbret\u00e9, mais ces alarmes radiologiques sont d’abord \u00e9cart\u00e9es par l’\u00e9quipe, qui les attribue \u00e0 des interf\u00e9rences \u00e9lectriques ou \u00e0 des dysfonctionnements instrumentaux induits par les transitoires pr\u00e9c\u00e9dents. Ce n’est qu’\u00e0 06 h 22, lors de la prise de poste de l’\u00e9quipe de rel\u00e8ve du matin, qu’un ing\u00e9nieur identifie la temp\u00e9rature anormalement \u00e9lev\u00e9e de la conduite d’\u00e9chappement de la vanne PORV et ordonne la fermeture de sa vanne d’isolement manuelle (la block valve<\/em>), colmatant enfin la br\u00e8che apr\u00e8s que plus de 150 000 litres d’eau hautement radioactive se sont d\u00e9vers\u00e9s dans le b\u00e2timent r\u00e9acteur et les puisards auxiliaires.<\/p>\n

3. L’ergonomie des salles de commande et la surcharge sensorielle<\/h2>\n

3.1 L’architecture physique et l’agencement des postes de contr\u00f4le<\/h3>\n

La salle de commande de TMI-2, r\u00e9plique fid\u00e8le de la philosophie d’ing\u00e9nierie des ann\u00e9es 1960 et 1970, avait \u00e9t\u00e9 con\u00e7ue sans la moindre consultation de sp\u00e9cialistes de l’ergonomie cognitive. L’espace physique se pr\u00e9sentait sous la forme d’un vaste h\u00e9micycle tapiss\u00e9 d’immenses panneaux verticaux et de pupitres horizontaux satur\u00e9s de milliers de voyants lumineux unicolores, de commutateurs rotatifs identiques, d’enregistreurs \u00e0 papier et d’afficheurs analogiques \u00e0 aiguille. L’agencement spatial de ces \u00e9quipements r\u00e9pondait \u00e0 une rationalit\u00e9 purement \u00e9lectrique et constructive : les instruments \u00e9taient regroup\u00e9s en fonction des chemins de c\u00e2bles et des sous-syst\u00e8mes constructeurs plut\u00f4t que selon les flux cognitifs et op\u00e9rationnels requis en cas de transitoire accidentel.<\/p>\n

Cette dispersion spatiale imposait aux op\u00e9rateurs une charge de d\u00e9placement physique aberrante. Pour v\u00e9rifier la corr\u00e9lation entre deux variables thermohydrauliques indissociables, un op\u00e9rateur devait r\u00e9guli\u00e8rement parcourir plusieurs m\u00e8tres, lire un manom\u00e8tre situ\u00e9 sur un panneau lat\u00e9ral, puis traverser la salle pour actionner une commande sur le pupitre oppos\u00e9, masquant ainsi l’\u00e9volution simultan\u00e9e des param\u00e8tres. De surcro\u00eet, les commutateurs de commande manuelle ne b\u00e9n\u00e9ficiaient d’aucune diff\u00e9renciation morphologique ou tactile : des dizaines d’interrupteurs contr\u00f4lant des fonctions vitales (comme l’injection haute pression ou le refroidissement de secours) pr\u00e9sentaient exactement la m\u00eame forme carr\u00e9e en bak\u00e9lite noire, augmentant exponentiellement le risque de confusion m\u00e9canique lors de man\u0153uvres sous tension temporelle. L’absence criante de hi\u00e9rarchisation visuelle emp\u00eachait toute vision globale synth\u00e9tique de l’\u00e9tat des barri\u00e8res de s\u00fbret\u00e9.<\/p>\n

3.2 L’avalanche d’alarmes sonores et visuelles : le syndrome de saturation<\/h3>\n

D\u00e8s les premi\u00e8res secondes de l’incident, la salle de commande fut submerg\u00e9e par ce que les sp\u00e9cialistes des facteurs humains qualifient aujourd’hui de temp\u00eate d’alarmes (alarm avalanche<\/em>). Entre 04 h 00 et 04 h 05, plus d’une centaine d’avertisseurs sonores et visuels s’enclench\u00e8rent de mani\u00e8re quasi instantan\u00e9e sur les bandeaux d’alarme surplombant les panneaux de contr\u00f4le. Le tintement incessant des klaxons et des sonneries cr\u00e9a un environnement acoustique assourdissant, induisant une d\u00e9gradation imm\u00e9diate de la concentration et rendant les communications verbales entre op\u00e9rateurs particuli\u00e8rement laborieuses. L’effet de clignotement g\u00e9n\u00e9ralis\u00e9 de dizaines de voyants rouges et ambr\u00e9s transforma la salle en un espace stroboscopique anxiog\u00e8ne, g\u00e9n\u00e9rant un aveuglement sensoriel total.<\/p>\n

Dans une telle configuration, l’attention s\u00e9lective des op\u00e9rateurs fut imm\u00e9diatement pulv\u00e9ris\u00e9e. Les syst\u00e8mes d’alarme de l’\u00e9poque \u00e9taient totalement d\u00e9pourvus de hi\u00e9rarchisation logique ou dynamique : une alarme signalant le d\u00e9bordement b\u00e9nin d’un puisard de drainage secondaire b\u00e9n\u00e9ficiait du m\u00eame voyant lumineux de taille identique et du m\u00eame signal sonore que l’alarme critique signalant la surchauffe imminente du combustible ou la perte d’alimentation \u00e9lectrique d’un tableau de s\u00e9curit\u00e9. L’op\u00e9rateur humain se retrouvait dans l’impossibilit\u00e9 d’extraire le \u00ab signal \u00bb pertinent au sein de cette masse assourdissante de \u00ab bruit \u00bb sensoriel. Les enregistreurs d’\u00e9v\u00e9nements informatiques, satur\u00e9s par le volume d’informations transmises par les capteurs d’entr\u00e9e, accus\u00e8rent rapidement un retard d’impression de plusieurs dizaines de minutes sur les t\u00e9l\u00e9scripteurs \u00e0 aiguilles, privant ainsi l’\u00e9quipe de toute chronologie s\u00e9quentielle actualis\u00e9e des pannes.<\/p>\n

3.3 L’ambigu\u00eft\u00e9 s\u00e9miotique des affichages instrumentaux<\/h3>\n

L’une des d\u00e9faillances ergonomiques les plus catastrophiques de Three Mile Island r\u00e9side dans la s\u00e9miotique trompeuse des indicateurs de la salle de commande, au premier rang desquels figurait le voyant lumineux associ\u00e9 \u00e0 la fameuse vanne de d\u00e9charge du pressuriseur (PORV). Sur le panneau principal, une lampe t\u00e9moin rouge indiquait aux op\u00e9rateurs si la vanne \u00e9tait ouverte ou ferm\u00e9e. Cependant, en raison d’une \u00e9conomie de conception dramatique, ce voyant n’\u00e9tait pas asservi \u00e0 un capteur m\u00e9canique mesurant le d\u00e9placement r\u00e9el de la tige de la soupape. Il \u00e9tait simplement branch\u00e9 sur le relais \u00e9lectrique qui envoyait le courant au sol\u00e9no\u00efde de commande. D\u00e8s lors, lorsque la pression diminua et que le signal \u00e9lectrique d’ouverture s’interrompit, le voyant lumineux s’\u00e9teignit, indiquant \u00e0 l’\u00e9quipe que la vanne s’\u00e9tait referm\u00e9e.<\/p>\n

Pour les op\u00e9rateurs, ce voyant \u00e9teint constituait une confirmation visuelle indiscutable de la fermeture physique de l’orifice. Or, la vanne \u00e9tait m\u00e9caniquement bloqu\u00e9e en position grande ouverte. Cette divergence fondamentale entre l’indication de surface et l’\u00e9tat r\u00e9el du syst\u00e8me constitua un pi\u00e8ge cognitif mortel. De la m\u00eame mani\u00e8re, les indicateurs de temp\u00e9rature situ\u00e9s sur les tuyauteries de d\u00e9charge, bien que montrant des valeurs tr\u00e8s \u00e9lev\u00e9es (d\u00e9passant les 130 \u00b0C), furent rationalis\u00e9s et ignor\u00e9s par l’\u00e9quipe : ces mesures \u00e9taient r\u00e9put\u00e9es peu fiables en raison de fuites chroniques ant\u00e9rieures sur les si\u00e8ges de soupape qui maintenaient traditionnellement ces sondes \u00e0 des niveaux chauds. Les \u00e9chelles de mesure des enregistreurs de pression et de niveau d’eau n’\u00e9taient pas non plus adapt\u00e9es \u00e0 des r\u00e9gimes d’\u00e9bullition diphasique, fournissant des valeurs oscillantes ou plafonn\u00e9es qui tromp\u00e8rent continuellement le jugement des op\u00e9rateurs sur la quantit\u00e9 r\u00e9elle de masse d’eau pr\u00e9sente dans la cuve.<\/p>\n

4. Biais cognitifs et heuristiques de jugement sous stress extr\u00eame<\/h2>\n

4.1 Le biais de confirmation et la fixation sur une hypoth\u00e8se unique<\/h3>\n

La psychologie cognitive a trouv\u00e9 dans Three Mile Island une illustration paradigmatique du biais de confirmation pouss\u00e9 \u00e0 son paroxysme op\u00e9rationnel. D\u00e8s la quatri\u00e8me minute de l’accident, les op\u00e9rateurs \u00e9chafaudent une th\u00e9orie diagnostique centrale : l’installation souffre d’une surabondance d’eau mena\u00e7ant d’engorger le pressuriseur. Une fois cette hypoth\u00e8se solidement ancr\u00e9e dans leur sch\u00e9ma mental, l’ensemble du processus de traitement de l’information va \u00eatre inconsciemment subordonn\u00e9 \u00e0 la d\u00e9fense de cette th\u00e8se. Chaque \u00e9l\u00e9ment d’information entrant confirmant cette hypoth\u00e8se \u2014 principalement la mont\u00e9e continue de l’indicateur de niveau du pressuriseur \u2014 est imm\u00e9diatement sur\u00e9valu\u00e9, valid\u00e9 et \u00e9rig\u00e9 en preuve irr\u00e9futable de la justesse de leur action de r\u00e9duction de l’injection de s\u00e9curit\u00e9.<\/p>\n

\u00c0 l’inverse, toute donn\u00e9e contredisant cette lecture de la situation est syst\u00e9matiquement rejet\u00e9e, minimis\u00e9e ou r\u00e9interpr\u00e9t\u00e9e de mani\u00e8re ad hoc pour ne pas menacer la coh\u00e9rence du cadre mental \u00e9tabli. Lorsque la pression du circuit primaire continue de s’effondrer alors que l’\u00e9quipe s’attendrait \u00e0 ce qu’elle remonte sous l’effet d’une chaudi\u00e8re pr\u00e9tendument pleine, l’anomalie est \u00e9vacu\u00e9e sans approfondissement. Lorsque les thermo-\u00e9l\u00e9ments situ\u00e9s au c\u0153ur du r\u00e9acteur commencent \u00e0 indiquer des temp\u00e9ratures titanesques de plus de 1 000 \u00b0C, les op\u00e9rateurs consid\u00e8rent que les capteurs sont grill\u00e9s et d\u00e9lirants, refusant d’admettre la r\u00e9alit\u00e9 d’un d\u00e9noyage du combustible. Cette inertie psychologique monumentale illustre \u00e0 quel point la charge cognitive requise pour abandonner une hypoth\u00e8se de travail explicative \u2014 m\u00eame erron\u00e9e \u2014 est immens\u00e9ment sup\u00e9rieure \u00e0 celle requise pour persister dans l’erreur, particuli\u00e8rement lorsqu’aucun mod\u00e8le alternatif coh\u00e9rent n’est imm\u00e9diatement disponible pour donner un sens aux \u00e9v\u00e9nements.<\/p>\n

4.2 L’impact neurobiologique et cognitif du stress aigu<\/h3>\n

Le comportement de l’\u00e9quipe de TMI-2 doit \u00eatre r\u00e9inscrit dans les r\u00e9alit\u00e9s neurobiologiques d’un organisme soumis \u00e0 une menace existentielle majeure. Face \u00e0 l’explosion soudaine de signaux de d\u00e9tresse acoustiques et visuels, le syst\u00e8me nerveux autonome d\u00e9clenche une s\u00e9cr\u00e9tion massive de cat\u00e9cholamines (adr\u00e9naline et noradr\u00e9naline) et de cortisol. Cette r\u00e9ponse physiologique ancestrale de type \u00ab combat ou fuite \u00bb, parfaitement adapt\u00e9e \u00e0 la survie biologique en milieu naturel, se r\u00e9v\u00e8le hautement inadapt\u00e9e et d\u00e9l\u00e9t\u00e8re lorsqu’il s’agit de g\u00e9rer un syst\u00e8me technologique ultra-complexe requ\u00e9rant des capacit\u00e9s d’abstraction math\u00e9matique et de raisonnement hypoth\u00e9tico-d\u00e9ductif fin.<\/p>\n

Sous l’influence de cette surcharge \u00e9motionnelle, les op\u00e9rateurs subissent un effet direct de r\u00e9tr\u00e9cissement attentionnel, couramment d\u00e9sign\u00e9 sous le terme de vision en tunnel (tunnel vision<\/em>). Leur champ perceptif se contracte violemment sur un point focal unique \u2014 en l’occurrence l’aiguille du niveau du pressuriseur \u2014, annihilant leur capacit\u00e9 \u00e0 balayer du regard les dizaines d’autres param\u00e8tres p\u00e9riph\u00e9riques qui auraient imm\u00e9diatement r\u00e9v\u00e9l\u00e9 la baisse globale de pression et le d\u00e9noyage du c\u0153ur. Simultan\u00e9ment, la m\u00e9moire de travail op\u00e9rationnelle subit une d\u00e9gradation s\u00e9v\u00e8re de ses capacit\u00e9s de stockage temporaire et de calcul mental. Les op\u00e9rateurs basculent involontairement d’un mode de r\u00e9flexion analytique conscient, exigeant et lent, vers des routines cognitives automatis\u00e9es et rigides, devenant incapables d’\u00e9chafauder des sc\u00e9narios prospectifs complexes face \u00e0 des signaux qui contredisent les r\u00e8gles basiques apprises lors des entra\u00eenements de routine.<\/p>\n

4.3 L’heuristique de disponibilit\u00e9 dans le diagnostic d’urgence<\/h3>\n

Pour prendre des d\u00e9cisions critiques en un temps restreint, l’esprit humain fait appel \u00e0 des heuristiques de jugement, ces raccourcis cognitifs d\u00e9crits par les pionniers de l’\u00e9conomie comportementale tels qu’Amos Tversky et Daniel Kahneman. \u00c0 Three Mile Island, l’heuristique de disponibilit\u00e9 a jou\u00e9 un r\u00f4le d\u00e9terminant et n\u00e9faste. Cette heuristique stipule que les individus \u00e9valuent la probabilit\u00e9 ou la pertinence d’un sc\u00e9nario en fonction de la facilit\u00e9 cognitive avec laquelle des exemples analogues leur reviennent en m\u00e9moire. Durant les mois pr\u00e9c\u00e9dant l’accident, les exploitants de la centrale avaient \u00e9t\u00e9 intensivement alert\u00e9s et conditionn\u00e9s par Babcock & Wilcox et leurs instructeurs sur le p\u00e9ril absolu repr\u00e9sent\u00e9 par un pressuriseur devenant \u00ab solide \u00bb (rempli d’eau liquide), un \u00e9v\u00e9nement jug\u00e9 tr\u00e8s dangereux pour l’int\u00e9grit\u00e9 des circuits primaires.<\/p>\n

Ce sc\u00e9nario d’accident \u00e9tait omnipr\u00e9sent dans la m\u00e9moire fra\u00eeche de l’\u00e9quipe. D\u00e8s que l’aiguille du pressuriseur s’est mise \u00e0 monter, ce mod\u00e8le mental imm\u00e9diatement disponible s’est impos\u00e9 avec une \u00e9vidence psychologique aveuglante. En contrepartie, le sc\u00e9nario d’une petite br\u00e8che de vapeur au sommet du pressuriseur provoquant la vidange de la cuve tout en maintenant un faux niveau haut dans le pressuriseur n’avait jamais fait l’objet d’un entra\u00eenement sur simulateur ou d’une formalisation th\u00e9orique accessible aux op\u00e9rateurs. Ce risque, bien qu’infiniment plus d\u00e9vastateur, \u00e9tait d’une disponibilit\u00e9 cognitive nulle pour l’\u00e9quipe en poste. Par cons\u00e9quent, les anomalies r\u00e9siduelles furent rationalis\u00e9es de fa\u00e7on fallacieuse : la fuite d’eau aux puisards fut attribu\u00e9e \u00e0 des ruptures de joints d’\u00e9tanch\u00e9it\u00e9 ordinaires, et la chute de pression fut per\u00e7ue comme un \u00e9piph\u00e9nom\u00e8ne transitoire, validant l’application aveugle d’une r\u00e9ponse inadapt\u00e9e \u00e0 une crise mal identifi\u00e9e.<\/p>\n

5. Mod\u00e8les mentaux et perte de synchronisation cognitive<\/h2>\n

5.1 La discordance entre \u00e9tat r\u00e9el du syst\u00e8me et mod\u00e8le mental des op\u00e9rateurs<\/h3>\n

Le concept de mod\u00e8le mental, formalis\u00e9 par Philip Johnson-Laird et largement import\u00e9 dans l’analyse de la s\u00fbret\u00e9 des syst\u00e8mes sociotechniques, d\u00e9signe la structure interne de connaissances et de repr\u00e9sentations dynamiques qu’un op\u00e9rateur mobilise pour comprendre, expliquer et pr\u00e9dire le comportement du syst\u00e8me qu’il pilote. L’accident de Three Mile Island constitue l’arch\u00e9type historique de la d\u00e9synchronisation absolue entre le mod\u00e8le mental des acteurs et l’\u00e9tat physique r\u00e9el de l’installation. Dans l’esprit des op\u00e9rateurs de TMI-2 r\u00e9gnait une pr\u00e9misse thermodynamique fondamentale mais erron\u00e9e dans ce contexte : ils postulaient que le circuit primaire d’un r\u00e9acteur nucl\u00e9aire fonctionne de mani\u00e8re quasi monophasique, o\u00f9 le niveau du pressuriseur est l’image fid\u00e8le et directe de la masse totale d’eau liquide contenue dans l’ensemble de la boucle primaire.<\/p>\n

Or, d\u00e8s lors que la soupape PORV est rest\u00e9e bloqu\u00e9e et que la pression s’est effondr\u00e9e sous le point de saturation thermique de l’eau, le circuit est entr\u00e9 dans un r\u00e9gime diphasique violent, hautement non lin\u00e9aire et chaotique. Dans un tel \u00e9tat, la thermodynamique dicte que l’eau liquide et la vapeur se s\u00e9parent en fonction des gradients de densit\u00e9 et de gravit\u00e9 : l’eau liquide tombait vers le bas de la cuve pour s’y \u00e9vaporer au contact des crayons de combustible surchauff\u00e9s, tandis que les immenses bulles de vapeur ascendantes poussaient le bouchon d’eau liquide du pressuriseur vers le haut de sa colonne, simulant un niveau plein. Le mod\u00e8le mental des op\u00e9rateurs, lin\u00e9aire et simpliste, \u00e9tait totalement d\u00e9coupl\u00e9 de la physique quantique et thermodynamique sous-jacente. Il existait un foss\u00e9 infranchissable entre le r\u00e9acteur r\u00e9el \u2014 en train de fondre par manque d’eau \u2014 et le r\u00e9acteur imagin\u00e9 par l’\u00e9quipe \u2014 qu’elle croyait satur\u00e9 de fluide et menac\u00e9 de surpression m\u00e9canique.<\/p>\n

5.2 La rupture de la transparence \u00e9cologique du syst\u00e8me<\/h3>\n

La th\u00e9orie de l’interface \u00e9cologique, formul\u00e9e plus tard par des chercheurs comme Kim Vicente et Jens Rasmussen, postule qu’un syst\u00e8me complexe doit \u00eatre con\u00e7u pour rendre transparentes ses contraintes physiques et fonctionnelles sous-jacentes \u00e0 travers les affichages de son interface. \u00c0 Three Mile Island, la transparence \u00e9cologique \u00e9tait rigoureusement inexistante. L’installation se comportait comme une bo\u00eete noire opaque dont les m\u00e9canismes causaux profonds \u00e9taient dissimul\u00e9s derri\u00e8re des indicateurs ponctuels et d\u00e9sarticul\u00e9s. Les op\u00e9rateurs disposaient d’informations directes sur des variables d’\u00e9tat locales (pression du pressuriseur, niveau dans un r\u00e9servoir, temp\u00e9rature en un point sp\u00e9cifique), mais d’aucune information directe sur les flux \u00e9nerg\u00e9tiques globaux, les bilans de masse et d’\u00e9nergie, ou la thermodynamique int\u00e9gr\u00e9e du c\u0153ur.<\/p>\n

L’invisibilit\u00e9 des processus internes non directement instrument\u00e9s privait les op\u00e9rateurs de toute capacit\u00e9 de d\u00e9duction des propri\u00e9t\u00e9s \u00e9mergentes de l’\u00e9tat instable. Il n’existait aucun instrument mesurant le niveau d’eau r\u00e9el \u00e0 l’int\u00e9rieur de la cuve du r\u00e9acteur au-dessus du combustible. Les concepteurs avaient estim\u00e9 qu’un tel capteur \u00e9tait superflu, arguant que le niveau du pressuriseur suffisait \u00e0 d\u00e9duire le remplissage de la cuve dans les conditions de conception habituelles. De m\u00eame, aucun calcul automatis\u00e9 ne reliait la mesure de la pression \u00e0 celle de la temp\u00e9rature pour indiquer instantan\u00e9ment si le fluide primaire se trouvait en \u00e9tat d’eau sous-refroidie ou au point de saturation (\u00e9bullition). Les op\u00e9rateurs devaient effectuer eux-m\u00eames cette conversion mentale en consultant manuellement des tables thermodynamiques papier sous forme de graphiques de vapeur d’eau complexes au beau milieu d’une temp\u00eate d’alarmes, une t\u00e2che cognitivement intenable qui consomma un temps pr\u00e9cieux et masqua l’\u00e9bullition g\u00e9n\u00e9ralis\u00e9e du c\u0153ur.<\/p>\n

5.3 Les limites de la formation face aux \u00e9tats hors conception<\/h3>\n

La formation dispens\u00e9e aux \u00e9quipes de conduite de Three Mile Island a constitu\u00e9 l’un des maillons les plus d\u00e9faillants de l’\u00e9difice de s\u00fbret\u00e9. Cette pr\u00e9paration reposait quasi exclusivement sur des cursus d’ing\u00e9nierie formels et des s\u00e9ances de simulateur hautement st\u00e9r\u00e9otyp\u00e9es. L’entra\u00eenement sur simulateur ne confrontait les stagiaires qu’\u00e0 des sc\u00e9narios standardis\u00e9s, conformes aux accidents dits de dimensionnement : arr\u00eats d’urgence simples, pertes compl\u00e8tes de courant \u00e9lectrique, ou ruptures massives et franches de conduites primaires o\u00f9 les sympt\u00f4mes sont limpides, imm\u00e9diats et univoques. Les proc\u00e9dures op\u00e9ratoires \u00e9taient r\u00e9dig\u00e9es sous forme de logigrammes \u00e9v\u00e9nementiels rigides imposant une s\u00e9quence stricte : \u00ab si \u00e9v\u00e9nement X identifi\u00e9, alors appliquer proc\u00e9dure Y \u00bb.<\/p>\n

Ces m\u00e9thodes p\u00e9dagogiques \u00e9chou\u00e8rent lamentablement \u00e0 pr\u00e9parer les \u00e9quipes \u00e0 la r\u00e9alit\u00e9 des pannes combin\u00e9es, sournoises et masqu\u00e9es par des artefacts instrumentaux. Les op\u00e9rateurs n’avaient jamais \u00e9t\u00e9 form\u00e9s \u00e0 g\u00e9rer une br\u00e8che primaire survenant pr\u00e9cis\u00e9ment au sommet du pressuriseur, ni \u00e0 faire face au dilemme tragique d’un faux niveau haut dans ce dernier. Leur mod\u00e8le mental appris \u00e9tait calibr\u00e9 pour des incidents nominaux pr\u00e9visibles, non pour des configurations accidentelles in\u00e9dites sortant du cadre de conception de base. D\u00e8s lors que l’incident r\u00e9el franchit les fronti\u00e8res des manuels standardis\u00e9s, les \u00e9quipes furent projet\u00e9es dans un vide proc\u00e9dural absolu, d\u00e9pourvues des comp\u00e9tences heuristiques et de l’entra\u00eenement cognitif n\u00e9cessaires pour r\u00e9inventer en temps r\u00e9el une strat\u00e9gie d’att\u00e9nuation adapt\u00e9e.<\/p>\n

6. La Commission Kemeny et l’institutionnalisation des facteurs humains<\/h2>\n

6.1 Les conclusions de l’enqu\u00eate f\u00e9d\u00e9rale : un constat accablant<\/h3>\n

Face \u00e0 la gravit\u00e9 sans pr\u00e9c\u00e9dent de la crise et \u00e0 la panique publique qu’elle avait d\u00e9clench\u00e9e, le pr\u00e9sident am\u00e9ricain Jimmy Carter nomma d\u00e8s avril 1979 une commission pr\u00e9sidentielle sp\u00e9ciale d’enqu\u00eate ind\u00e9pendante, plac\u00e9e sous la direction du math\u00e9maticien et pr\u00e9sident du Dartmouth College, John Kemeny. Apr\u00e8s six mois d’auditions minutieuses, d’analyses techniques et d’interrogatoires, le rapport final de la Commission Kemeny<\/a>, publi\u00e9 en octobre 1979 et intitul\u00e9 The Need for Change: The Legacy of TMI<\/em>, ass\u00e9na un verdict qui \u00e9branla l’industrie nucl\u00e9aire mondiale jusque dans ses fondements les plus assur\u00e9s.<\/p>\n

La conclusion ma\u00eetresse du rapport Kemeny affirmait de mani\u00e8re cat\u00e9gorique que la cause fondamentale de l’accident de Three Mile Island ne r\u00e9sidait point dans des d\u00e9faillances m\u00e9caniques isol\u00e9es, mais dans ce que la commission d\u00e9signa sous l’expression devenue historique d’\u00ab \u00e9l\u00e9ment humain \u00bb (the human factor<\/em>). La commission refusa explicitement de faire porter le chapeau aux seuls op\u00e9rateurs de quart, d\u00e9non\u00e7ant avec vigueur toute tentative d’en faire des boucs \u00e9missaires commodes. Le rapport d\u00e9montra que les quatre op\u00e9rateurs pr\u00e9sents en salle de commande s’\u00e9taient comport\u00e9s avec un d\u00e9vouement absolu et conform\u00e9ment \u00e0 la formation m\u00e9diocre qu’ils avaient re\u00e7ue. L’acte d’accusation de la Commission Kemeny ciblait l’ensemble de l’appareil institutionnel : la direction de l’exploitant Metropolitan Edison pour son imp\u00e9ritie manag\u00e9riale et son m\u00e9pris de la s\u00e9curit\u00e9 au profit de la productivit\u00e9, le constructeur Babcock & Wilcox pour l’obscurit\u00e9 de sa documentation technique, et l’agence f\u00e9d\u00e9rale de r\u00e9glementation (la NRC) pour son aveuglement bureaucratique et son incapacit\u00e9 \u00e0 inspecter rigoureusement les comp\u00e9tences humaines.<\/p>\n

6.2 La red\u00e9finition du r\u00f4le des facteurs organisationnels<\/h3>\n

Le rapport Kemeny a agi comme le pionnier de ce qui deviendra la sociologie des d\u00e9sastres et la th\u00e9orie des accidents organisationnels. L’une des r\u00e9v\u00e9lations les plus accablantes de l’enqu\u00eate f\u00e9d\u00e9rale fut la mise au jour d’un incident quasiment jumeau survenu dix-huit mois plus t\u00f4t, le 24 septembre 1977, \u00e0 la centrale de Davis-Besse<\/a>, exploit\u00e9e dans l’Ohio avec un r\u00e9acteur identique con\u00e7u par Babcock & Wilcox. \u00c0 Davis-Besse, la vanne PORV \u00e9tait \u00e9galement rest\u00e9e bloqu\u00e9e en position ouverte, induisant une mont\u00e9e erron\u00e9e du niveau du pressuriseur et poussant les op\u00e9rateurs \u00e0 interrompre l’injection de s\u00e9curit\u00e9 haute pression. Par chance, \u00e0 Davis-Besse, un op\u00e9rateur avait identifi\u00e9 l’anomalie apr\u00e8s seulement vingt minutes et avait isol\u00e9 la vanne, \u00e9vitant ainsi la fusion du c\u0153ur.<\/p>\n

Des notes internes r\u00e9dig\u00e9es par des ing\u00e9nieurs clairvoyants de Babcock & Wilcox (notamment le c\u00e9l\u00e8bre m\u00e9mo Walters de 1977) et de la NRC avaient analys\u00e9 l’incident de Davis-Besse et averti explicitement que si cette situation se reproduisait \u00e0 pleine puissance sans que les proc\u00e9dures ne soient corrig\u00e9es pour interdire l’arr\u00eat manuel de l’injection de s\u00e9curit\u00e9, un d\u00e9noyage catastrophique du c\u0153ur surviendrait sous peu. Ces avertissements pr\u00e9curseurs avaient \u00e9t\u00e9 engloutis dans les m\u00e9andres administratifs de l’organisation : ni\u00e9s par les gestionnaires, non distribu\u00e9s aux centrales clientes et ignor\u00e9s par les inspecteurs r\u00e9glementaires. La Commission Kemeny mit en lumi\u00e8re cette c\u00e9cit\u00e9 organisationnelle structurelle, d\u00e9montrant qu’un accident industriel n’est jamais un \u00e9v\u00e9nement impromptu, mais l’aboutissement pr\u00e9visible d’une longue p\u00e9riode d’incubation organisationnelle durant laquelle les signaux d’alerte sont collectivement \u00e9touff\u00e9s ou n\u00e9glig\u00e9s.<\/p>\n

6.3 L’amorce d’une transformation l\u00e9gislative et r\u00e9glementaire<\/h3>\n

L’onde de choc du rapport Kemeny contraint le gouvernement am\u00e9ricain et les instances de r\u00e9gulation mondiales \u00e0 engager une refonte l\u00e9gislative sans pr\u00e9c\u00e9dent. La Nuclear Regulatory Commission fut soumise \u00e0 une restructuration interne drastique. Par le biais des publications fondatrices NUREG-0578<\/em> et NUREG-0737<\/em> (intitul\u00e9es TMI Action Plan Requirements<\/em>), le r\u00e9gulateur imposa des dizaines de nouvelles normes de conception obligatoires pour toutes les centrales existantes et futures, transformant la conformit\u00e9 r\u00e9glementaire.<\/p>\n

Pour la premi\u00e8re fois dans l’histoire industrielle, l’ing\u00e9nierie des facteurs humains (Human Factors Engineering<\/em> – HFE) acquit un statut l\u00e9gal obligatoire au m\u00eame titre que la r\u00e9sistance des mat\u00e9riaux ou la m\u00e9canique des fluides. Des exigences strictes furent d\u00e9cr\u00e9t\u00e9es : obligation de r\u00e9am\u00e9nager enti\u00e8rement les salles de commande selon des crit\u00e8res ergonomiques v\u00e9rifiables, pr\u00e9sence permanente en centrale d’un ing\u00e9nieur de s\u00fbret\u00e9 ind\u00e9pendant (le Shift Technical Advisor<\/em>), refonte compl\u00e8te des proc\u00e9dures d’urgence, et standardisation pouss\u00e9e des formations. Parall\u00e8lement, l’industrie comprit que la r\u00e9glementation \u00e9tatique ne suffisait pas et que la s\u00e9curit\u00e9 d’une seule centrale engageait l’avenir de l’ensemble de la fili\u00e8re nucl\u00e9aire, pr\u00e9parant le terrain pour la cr\u00e9ation d’organismes de surveillance corporative enti\u00e8rement in\u00e9dits.<\/p>\n

7. Taxonomie de l’erreur humaine : apports th\u00e9oriques majeurs post-TMI<\/h2>\n

7.1 Le mod\u00e8le SRK de Jens Rasmussen appliqu\u00e9 \u00e0 la conduite nucl\u00e9aire<\/h3>\n

L’accident de Three Mile Island servit de substrat exp\u00e9rimental \u00e0 l’une des th\u00e9orisations les plus f\u00e9condes des sciences cognitives industrielles : le mod\u00e8le SRK (Skill, Rule, Knowledge-based behavior<\/em>), formul\u00e9 au d\u00e9but des ann\u00e9es 1980 par l’ing\u00e9nieur et psychologue danois Jens Rasmussen<\/a>. Rasmussen postule que l’op\u00e9rateur humain interagit avec un syst\u00e8me technique complexe \u00e0 travers trois niveaux graduels de contr\u00f4le cognitif :<\/p>\n