L’analyse de l’erreur humaine de Three Mile Island – Un champ d’étude consécutif à l’événement

Le 28 mars 1979, à 04 h 00 du matin, l’unité numéro deux de la centrale nucléaire de Three Mile Island (TMI-2), située sur la rivière Susquehanna près de Harrisburg en Pennsylvanie, subissait une banale défaillance dans son circuit secondaire d’eau d’alimentation. Moins de cent vingt minutes plus tard, cette anomalie mécanique ordinaire avait dégénéré en une crise thermohydraulique sans précédent, menant à la fusion partielle du cœur du réacteur et libérant des gaz radioactifs dans l’atmosphère. Pendant plusieurs jours, l’Occident retint son souffle face à l’effondrement potentiel d’une installation industrielle perçue jusqu’alors comme le summum de l’ingénierie moderne. Pourtant, lorsque les ingénieurs et les instances gouvernementales purent enfin pénétrer au cœur des données de la catastrophe, ils ne découvrirent point une défaillance métallurgique apocalyptique ou un cataclysme naturel, mais une succession dramatique de décisions humaines, de diagnostics erronés et d’incompréhensions cognitives profondes.

L’accident de Three Mile Island a constitué une véritable rupture épistémologique dans l’histoire des technologies à haut risque. Jusqu’à cette date fatidique, la sûreté nucléaire reposait presque exclusivement sur des postulats déterministes et probabilistes axés sur la robustesse mécanique des composants : cuves en acier forgé, redondance des circuits de tuyauterie, triplement des capteurs physiques et barrières physiques hermétiques. L’opérateur humain, confiné dans un statut d’exécutant passif de protocoles préétablis, était largement appréhendé comme un composant fiable ou, à défaut, comme une variable négligeable face à l’infaillibilité présumée de l’automatisation. L’effondrement opérationnel de TMI-2 a pulvérisé cette illusion technologique en démontrant avec une brutalité implacable que les machines les plus sophistiquées restent indissociables des systèmes sociotechniques et des représentations cognitives des individus qui les exploitent.

Cet article propose une dissection académique et exhaustive de la métamorphose conceptuelle engendrée par Three Mile Island. En analysant la genèse industrielle de l’événement, la chronologie fine des pannes mécaniques et des méprises diagnostiques, la dégradation de l’ergonomie physique et sémiotique des salles de commande, ainsi que les dynamiques psychologiques et organisationnelles en jeu, nous mettrons en lumière la manière dont un accident industriel a catalysé l’émergence des facteurs humains comme discipline scientifique autonome. De l’avènement des modèles cognitifs de Jens Rasmussen et James Reason jusqu’à la refonte contemporaine des interfaces homme-machine face aux défis de l’intelligence artificielle, Three Mile Island demeure la matrice intellectuelle d’où est issue notre compréhension moderne de la fiabilité humaine et de la résilience organisationnelle.

1. Introduction et genèse contextuelle de l’accident de Three Mile Island

1.1 Le contexte technologique et industriel de l’énergie nucléaire en 1979

À la fin des années 1970, l’industrie nucléaire commerciale mondiale traverse une phase d’expansion quantitative sans précédent. Sous l’impulsion des chocs pétroliers successifs de 1973 et 1979, les nations industrialisées, emmenées par les États-Unis, investissent massivement dans les réacteurs de deuxième génération, principalement de la filière à eau pressurisée (PWR, pour Pressurized Water Reactor). Les unités construites, dont la puissance électrique dépasse fréquemment les 900 mégawatts, incarnent l’apogée d’une foi inébranlable dans le progrès technologique. Cette période se caractérise par la domination écrasante d’un paradigme de conception purement déterministe. Les doctrines de sûreté alors en vigueur, incarnées par les règles de la Nuclear Regulatory Commission (NRC) américaine, postulent qu’en dimensionnant les structures pour résister aux accidents maximaux plausibles — tels que la rupture brutale d’une conduite primaire principale (l’accident de perte de réfrigérant primaire ou LOCA) —, l’installation sera intrinsèquement protégée contre tout événement de moindre gravité.

Dans ce schéma mécaniste, l’humain n’est modélisé que de façon périphérique. Les analyses de sécurité intègrent l’opérateur comme un relais d’exécution déterministe, doté d’une fiabilité calculée selon des modèles de fiabilité des composants matériels. On présume que face à une anomalie, l’exploitant suivra à la lettre des procédures rigides fondées sur l’identification séquentielle de pannes isolées. Parallèlement, l’introduction balbutiante des premiers calculateurs et des automatismes de déclenchement d’urgence nourrit l’illusion que le facteur humain est progressivement éliminé de l’équation sécuritaire. La machine, dotée d’une logique binaire réputée infaillible, est programmée pour prendre le relais de l’homme en cas de crise, réduisant le rôle des équipes de quart à une simple tâche de surveillance passive en conditions nominales, sans anticiper les conflits d’arbitrage que l’automatisation incomplète ne manquerait pas de provoquer.

1.2 L’avènement d’une crise systémique : rupture du paradigme ingénieur

L’accident du 28 mars 1979 vient percuter violemment ce modèle intellectuel. Loin de correspondre au scénario classique de la rupture cataclysmique d’une tuyauterie majeure que les ingénieurs avaient anticipée par des systèmes de redondance massifs, l’événement initial de TMI-2 consiste en une micro-défaillance thermodynamique, combinée à une anomalie banale d’ouverture de vanne. La crise qui s’ensuit ne résulte pas de la violence physique de l’incident, mais de la confrontation directe entre la complexité systémique d’une installation thermohydraulique et les limites fondamentales de l’appareil cognitif humain placé en situation de stress et d’asymétrie d’information. Les opérateurs se retrouvent plongés dans une boucle dynamique non anticipée par les guides de conduite, où les réponses mécaniques du système contredisent frontalement leurs intuitions et leurs apprentissages théoriques.

Cette confrontation révèle des faiblesses structurelles profondes au sein des manuels de conception eux-mêmes. Les ingénieurs concepteurs de la chaudière, issus de la firme Babcock & Wilcox, avaient conçu l’installation selon des équations d’état stables, sans mesurer que la réalité opérationnelle confronterait les exploitants à des régimes d’ébullition diphasique (mélange complexe d’eau liquide et de vapeur) instables et trompeurs. L’accident de Three Mile Island marque ainsi l’échec cuisant du modèle de l’ingénieur démiurge. En l’espace de quelques heures, la communauté scientifique internationale est contrainte de requalifier ce qui apparaissait initialement comme une série d’incidents techniques mineurs en une défaillance sociotechnique globale, démontrant que la vulnérabilité ultime d’une centrale nucléaire ne réside pas dans l’épaisseur de son acier de confinement, mais dans la fragilité du couplage entre l’opérateur, son interface et son organisation.

1.3 Objectifs et portée de l’analyse rétrospective des facteurs humains

L’onde de choc méthodologique provoquée par TMI conduit la recherche industrielle à abandonner définitivement l’approche simpliste de la « faute de l’opérateur ». Durant des décennies, la réponse institutionnelle aux dysfonctionnements techniques consistait à imputer la responsabilité du sinistre à l’inattention, à la fatigue ou à l’incompétence des équipes de première ligne, clôturant commodément les enquêtes par des sanctions disciplinaires individuelles. Three Mile Island a constitué le catalyseur intellectuel d’un renversement copernicien : au lieu de considérer l’erreur humaine comme la cause racine du drame, les analystes ont commencé à la considérer comme le symptôme visible de défaillances systémiques latentes réparties dans l’ensemble de l’écosystème technique, réglementaire et ergonomique.

Dès lors, l’objectif fondamental de l’analyse rétrospective des facteurs humains devient d’élucider pourquoi les actions des opérateurs, rétrospectivement qualifiées de désastreuses par les observateurs extérieurs, leur ont semblé totalement rationnelles, sensées et prudentes au moment précis où ils les posaient. Cette posture épistémologique exige l’établissement d’une méthodologie d’analyse cognitive rigoureuse a posteriori, capable de reconstruire l’univers informationnel des opérateurs, leurs représentations mentales, leurs contraintes temporelles et leurs mécanismes de décision sous une anxiété aiguë. Ce basculement a favorisé l’hybridation féconde entre la psychologie cognitive appliquée, l’ergonomie des systèmes complexes et la sociologie des organisations, hissant les facteurs humains du rang de discipline corrective secondaire à celui de pierre angulaire de la sûreté industrielle contemporaine.

2. Chronologie critique de l’incident et défaillances initiales

2.1 L’élément déclencheur et la cascade de dysfonctionnements mécaniques

La chronologie de Three Mile Island s’enclenche avec une rigueur implacable à 04 h 00 min 37 s. Dans le bâtiment turbine, une banale tentative de débouchage d’un système d’épuration des condensats (les résines de polissage du circuit secondaire) entraîne l’introduction accidentelle d’une petite quantité d’eau dans le circuit d’air comprimé instrumenté. Cet incident mineur provoque l’arrêt automatique des pompes d’alimentation principale du circuit secondaire. Conformément aux séquences logiques de sauvegarde, la turbine électrique se déclenche immédiatement, suivie par le démarrage automatique des trois pompes d’alimentation en eau de secours auxiliaires. Toutefois, les vannes d’isolement de ces pompes de secours avaient été laissées en position fermée lors d’une opération de maintenance deux jours auparavant, en violation flagrante des spécifications techniques d’exploitation, privant ainsi temporairement les générateurs de vapeur de toute source de refroidissement.

Privé de puits de chaleur secondaire pour évacuer son énergie calorifique, le circuit primaire d’eau pressurisée voit sa température et sa pression s’élever de façon fulgurante. En réponse à cette surpression, le système automatique ordonne l’ouverture de la soupape de décharge pilotée du pressuriseur (dénommée PORV pour Pilot-Operated Relief Valve) située au sommet de ce composant clé chargé de réguler la pression primaire. Dans le même temps, le réacteur s’arrête automatiquement par chute gravitaire de ses barres de contrôle (arrêt d’urgence ou scram). La pression primaire entame alors une décroissance salutaire. Cependant, à 04 h 00 min 49 s, lorsque la pression redescend sous le seuil de consigne mécanique, le signal électrique de refermeture est bien envoyé à la vanne PORV, mais celle-ci reste physiquement coincée en position ouverte en raison d’une défaillance de son mécanisme à ressort. Pire encore, aucun capteur physique ne surveille la position mécanique réelle de la tige de soupape, initiant une fuite continue de fluide caloporteur qui restera méconnue pendant plus de deux heures et vingt minutes.

2.2 La boucle de rétroaction erronée et les diagnostics initiaux

La persistance de l’ouverture de la soupape PORV transforme une simple perte d’évacuation de chaleur en une brèche primaire non isolée, une petite brèche de type LOCA. La pression du circuit primaire continue de chuter brutalement. À 04 h 02 min 01 s, la baisse de pression atteint le seuil d’intervention automatique du système d’injection de sécurité haute pression (HPSI, pour High Pressure Safety Injection). Deux pompes massives commencent à injecter des centaines de litres d’eau boriquée froide par minute dans le cœur pour compenser l’inventaire d’eau primaire et maintenir le réacteur sous eau. C’est à ce point précis que le drame cognitif se noue. Les opérateurs constatent sur leurs tableaux de bord une anomalie qui heurte de plein fouet leur formation académique : alors que la pression du circuit primaire s’effondre de manière alarmante, le niveau d’eau mesuré à l’intérieur du pressuriseur s’élève rapidement, atteignant bientôt le haut de l’échelle de mesure.

Selon les enseignements intransigeants reçus par les exploitants de la part de l’exploitant Metropolitan Edison et du constructeur Babcock & Wilcox, le pressuriseur ne devait sous aucun prétexte « devenir plein d’eau » (situation qualifiée de réacteur solid). Si le pressuriseur se remplissait totalement d’eau liquide incompressible, le contrôle de la pression devenait impossible, risquant de provoquer la fissuration catastrophique de la cuve sous l’effet des coups de bélier hydrauliques. Face à cette montée continue du niveau perçu, les opérateurs posent un diagnostic erroné mais logique dans leur cadre de référence : ils concluent que le circuit primaire contient un excédent d’eau massif. À 04 h 04 min 38 s, ils réduisent manuellement le débit d’injection de sécurité à un strict minimum, puis finissent par l’interrompre presque totalement. En réalité, le niveau du pressuriseur montait non parce que le réacteur était plein d’eau, mais parce que la brèche au sommet du pressuriseur créait une dépressurisation violente, entraînant l’ébullition massive de l’eau dans les zones chaudes et la formation d’une immense poche de vapeur dans la cuve, qui refoulait l’eau liquide vers le pressuriseur. L’injection d’eau était ainsi coupée au moment exact où elle était le plus vitalement requise.

2.3 La dérive temporelle de la gestion de crise

Pendant plus de cent minutes d’une lente dérive thermique, l’équipe de quart navigue à l’aveugle dans une incompréhension physique totale. Pensant préserver l’installation d’un trop-plein d’eau, ils continuent d’évacuer du caloporteur primaire en purgeant le pressuriseur, accentuant le dénoyage inexorable du combustible nucléaire. Vers 05 h 15, les quatre pompes de circulation primaire principales se mettent à vibrer violemment en raison de phénomènes de cavitation dévastateurs : elles pompent désormais un mélange d’eau et de bulles de vapeur qui détruit leurs roulements mécaniques. Craignant leur destruction pure et simple, les opérateurs décident de les arrêter manuellement l’une après l’autre, pensant que la circulation thermosiphon naturelle suffira à évacuer la puissance résiduelle du cœur. Cet arrêt fige la circulation du fluide et scelle le destin du cœur du réacteur : privé de débit forcé, l’eau résiduelle stagne et commence à bouillir vigoureusement.

À partir de 05 h 45, la partie supérieure des assemblages de combustible se retrouve émergée, à l’air libre dans une atmosphère de vapeur surchauffée atteignant plus de 1 200 °C. La réaction exothermique entre la vapeur d’eau et le gainage en alliage de zirconium (zircaloy) s’enclenche, produisant d’immenses volumes d’hydrogène inflammable et provoquant la dislocation mécanique des crayons de combustible. Les détecteurs de rayonnements gamma de l’enceinte de confinement s’affolent, signalant la rupture des premières barrières de sûreté, mais ces alarmes radiologiques sont d’abord écartées par l’équipe, qui les attribue à des interférences électriques ou à des dysfonctionnements instrumentaux induits par les transitoires précédents. Ce n’est qu’à 06 h 22, lors de la prise de poste de l’équipe de relève du matin, qu’un ingénieur identifie la température anormalement élevée de la conduite d’échappement de la vanne PORV et ordonne la fermeture de sa vanne d’isolement manuelle (la block valve), colmatant enfin la brèche après que plus de 150 000 litres d’eau hautement radioactive se sont déversés dans le bâtiment réacteur et les puisards auxiliaires.

3. L’ergonomie des salles de commande et la surcharge sensorielle

3.1 L’architecture physique et l’agencement des postes de contrôle

La salle de commande de TMI-2, réplique fidèle de la philosophie d’ingénierie des années 1960 et 1970, avait été conçue sans la moindre consultation de spécialistes de l’ergonomie cognitive. L’espace physique se présentait sous la forme d’un vaste hémicycle tapissé d’immenses panneaux verticaux et de pupitres horizontaux saturés de milliers de voyants lumineux unicolores, de commutateurs rotatifs identiques, d’enregistreurs à papier et d’afficheurs analogiques à aiguille. L’agencement spatial de ces équipements répondait à une rationalité purement électrique et constructive : les instruments étaient regroupés en fonction des chemins de câbles et des sous-systèmes constructeurs plutôt que selon les flux cognitifs et opérationnels requis en cas de transitoire accidentel.

Cette dispersion spatiale imposait aux opérateurs une charge de déplacement physique aberrante. Pour vérifier la corrélation entre deux variables thermohydrauliques indissociables, un opérateur devait régulièrement parcourir plusieurs mètres, lire un manomètre situé sur un panneau latéral, puis traverser la salle pour actionner une commande sur le pupitre opposé, masquant ainsi l’évolution simultanée des paramètres. De surcroît, les commutateurs de commande manuelle ne bénéficiaient d’aucune différenciation morphologique ou tactile : des dizaines d’interrupteurs contrôlant des fonctions vitales (comme l’injection haute pression ou le refroidissement de secours) présentaient exactement la même forme carrée en bakélite noire, augmentant exponentiellement le risque de confusion mécanique lors de manœuvres sous tension temporelle. L’absence criante de hiérarchisation visuelle empêchait toute vision globale synthétique de l’état des barrières de sûreté.

3.2 L’avalanche d’alarmes sonores et visuelles : le syndrome de saturation

Dès les premières secondes de l’incident, la salle de commande fut submergée par ce que les spécialistes des facteurs humains qualifient aujourd’hui de tempête d’alarmes (alarm avalanche). Entre 04 h 00 et 04 h 05, plus d’une centaine d’avertisseurs sonores et visuels s’enclenchèrent de manière quasi instantanée sur les bandeaux d’alarme surplombant les panneaux de contrôle. Le tintement incessant des klaxons et des sonneries créa un environnement acoustique assourdissant, induisant une dégradation immédiate de la concentration et rendant les communications verbales entre opérateurs particulièrement laborieuses. L’effet de clignotement généralisé de dizaines de voyants rouges et ambrés transforma la salle en un espace stroboscopique anxiogène, générant un aveuglement sensoriel total.

Dans une telle configuration, l’attention sélective des opérateurs fut immédiatement pulvérisée. Les systèmes d’alarme de l’époque étaient totalement dépourvus de hiérarchisation logique ou dynamique : une alarme signalant le débordement bénin d’un puisard de drainage secondaire bénéficiait du même voyant lumineux de taille identique et du même signal sonore que l’alarme critique signalant la surchauffe imminente du combustible ou la perte d’alimentation électrique d’un tableau de sécurité. L’opérateur humain se retrouvait dans l’impossibilité d’extraire le « signal » pertinent au sein de cette masse assourdissante de « bruit » sensoriel. Les enregistreurs d’événements informatiques, saturés par le volume d’informations transmises par les capteurs d’entrée, accusèrent rapidement un retard d’impression de plusieurs dizaines de minutes sur les téléscripteurs à aiguilles, privant ainsi l’équipe de toute chronologie séquentielle actualisée des pannes.

3.3 L’ambiguïté sémiotique des affichages instrumentaux

L’une des défaillances ergonomiques les plus catastrophiques de Three Mile Island réside dans la sémiotique trompeuse des indicateurs de la salle de commande, au premier rang desquels figurait le voyant lumineux associé à la fameuse vanne de décharge du pressuriseur (PORV). Sur le panneau principal, une lampe témoin rouge indiquait aux opérateurs si la vanne était ouverte ou fermée. Cependant, en raison d’une économie de conception dramatique, ce voyant n’était pas asservi à un capteur mécanique mesurant le déplacement réel de la tige de la soupape. Il était simplement branché sur le relais électrique qui envoyait le courant au solénoïde de commande. Dès lors, lorsque la pression diminua et que le signal électrique d’ouverture s’interrompit, le voyant lumineux s’éteignit, indiquant à l’équipe que la vanne s’était refermée.

Pour les opérateurs, ce voyant éteint constituait une confirmation visuelle indiscutable de la fermeture physique de l’orifice. Or, la vanne était mécaniquement bloquée en position grande ouverte. Cette divergence fondamentale entre l’indication de surface et l’état réel du système constitua un piège cognitif mortel. De la même manière, les indicateurs de température situés sur les tuyauteries de décharge, bien que montrant des valeurs très élevées (dépassant les 130 °C), furent rationalisés et ignorés par l’équipe : ces mesures étaient réputées peu fiables en raison de fuites chroniques antérieures sur les sièges de soupape qui maintenaient traditionnellement ces sondes à des niveaux chauds. Les échelles de mesure des enregistreurs de pression et de niveau d’eau n’étaient pas non plus adaptées à des régimes d’ébullition diphasique, fournissant des valeurs oscillantes ou plafonnées qui trompèrent continuellement le jugement des opérateurs sur la quantité réelle de masse d’eau présente dans la cuve.

4. Biais cognitifs et heuristiques de jugement sous stress extrême

4.1 Le biais de confirmation et la fixation sur une hypothèse unique

La psychologie cognitive a trouvé dans Three Mile Island une illustration paradigmatique du biais de confirmation poussé à son paroxysme opérationnel. Dès la quatrième minute de l’accident, les opérateurs échafaudent une théorie diagnostique centrale : l’installation souffre d’une surabondance d’eau menaçant d’engorger le pressuriseur. Une fois cette hypothèse solidement ancrée dans leur schéma mental, l’ensemble du processus de traitement de l’information va être inconsciemment subordonné à la défense de cette thèse. Chaque élément d’information entrant confirmant cette hypothèse — principalement la montée continue de l’indicateur de niveau du pressuriseur — est immédiatement surévalué, validé et érigé en preuve irréfutable de la justesse de leur action de réduction de l’injection de sécurité.

À l’inverse, toute donnée contredisant cette lecture de la situation est systématiquement rejetée, minimisée ou réinterprétée de manière ad hoc pour ne pas menacer la cohérence du cadre mental établi. Lorsque la pression du circuit primaire continue de s’effondrer alors que l’équipe s’attendrait à ce qu’elle remonte sous l’effet d’une chaudière prétendument pleine, l’anomalie est évacuée sans approfondissement. Lorsque les thermo-éléments situés au cœur du réacteur commencent à indiquer des températures titanesques de plus de 1 000 °C, les opérateurs considèrent que les capteurs sont grillés et délirants, refusant d’admettre la réalité d’un dénoyage du combustible. Cette inertie psychologique monumentale illustre à quel point la charge cognitive requise pour abandonner une hypothèse de travail explicative — même erronée — est immensément supérieure à celle requise pour persister dans l’erreur, particulièrement lorsqu’aucun modèle alternatif cohérent n’est immédiatement disponible pour donner un sens aux événements.

4.2 L’impact neurobiologique et cognitif du stress aigu

Le comportement de l’équipe de TMI-2 doit être réinscrit dans les réalités neurobiologiques d’un organisme soumis à une menace existentielle majeure. Face à l’explosion soudaine de signaux de détresse acoustiques et visuels, le système nerveux autonome déclenche une sécrétion massive de catécholamines (adrénaline et noradrénaline) et de cortisol. Cette réponse physiologique ancestrale de type « combat ou fuite », parfaitement adaptée à la survie biologique en milieu naturel, se révèle hautement inadaptée et délétère lorsqu’il s’agit de gérer un système technologique ultra-complexe requérant des capacités d’abstraction mathématique et de raisonnement hypothético-déductif fin.

Sous l’influence de cette surcharge émotionnelle, les opérateurs subissent un effet direct de rétrécissement attentionnel, couramment désigné sous le terme de vision en tunnel (tunnel vision). Leur champ perceptif se contracte violemment sur un point focal unique — en l’occurrence l’aiguille du niveau du pressuriseur —, annihilant leur capacité à balayer du regard les dizaines d’autres paramètres périphériques qui auraient immédiatement révélé la baisse globale de pression et le dénoyage du cœur. Simultanément, la mémoire de travail opérationnelle subit une dégradation sévère de ses capacités de stockage temporaire et de calcul mental. Les opérateurs basculent involontairement d’un mode de réflexion analytique conscient, exigeant et lent, vers des routines cognitives automatisées et rigides, devenant incapables d’échafauder des scénarios prospectifs complexes face à des signaux qui contredisent les règles basiques apprises lors des entraînements de routine.

4.3 L’heuristique de disponibilité dans le diagnostic d’urgence

Pour prendre des décisions critiques en un temps restreint, l’esprit humain fait appel à des heuristiques de jugement, ces raccourcis cognitifs décrits par les pionniers de l’économie comportementale tels qu’Amos Tversky et Daniel Kahneman. À Three Mile Island, l’heuristique de disponibilité a joué un rôle déterminant et néfaste. Cette heuristique stipule que les individus évaluent la probabilité ou la pertinence d’un scénario en fonction de la facilité cognitive avec laquelle des exemples analogues leur reviennent en mémoire. Durant les mois précédant l’accident, les exploitants de la centrale avaient été intensivement alertés et conditionnés par Babcock & Wilcox et leurs instructeurs sur le péril absolu représenté par un pressuriseur devenant « solide » (rempli d’eau liquide), un événement jugé très dangereux pour l’intégrité des circuits primaires.

Ce scénario d’accident était omniprésent dans la mémoire fraîche de l’équipe. Dès que l’aiguille du pressuriseur s’est mise à monter, ce modèle mental immédiatement disponible s’est imposé avec une évidence psychologique aveuglante. En contrepartie, le scénario d’une petite brèche de vapeur au sommet du pressuriseur provoquant la vidange de la cuve tout en maintenant un faux niveau haut dans le pressuriseur n’avait jamais fait l’objet d’un entraînement sur simulateur ou d’une formalisation théorique accessible aux opérateurs. Ce risque, bien qu’infiniment plus dévastateur, était d’une disponibilité cognitive nulle pour l’équipe en poste. Par conséquent, les anomalies résiduelles furent rationalisées de façon fallacieuse : la fuite d’eau aux puisards fut attribuée à des ruptures de joints d’étanchéité ordinaires, et la chute de pression fut perçue comme un épiphénomène transitoire, validant l’application aveugle d’une réponse inadaptée à une crise mal identifiée.

5. Modèles mentaux et perte de synchronisation cognitive

5.1 La discordance entre état réel du système et modèle mental des opérateurs

Le concept de modèle mental, formalisé par Philip Johnson-Laird et largement importé dans l’analyse de la sûreté des systèmes sociotechniques, désigne la structure interne de connaissances et de représentations dynamiques qu’un opérateur mobilise pour comprendre, expliquer et prédire le comportement du système qu’il pilote. L’accident de Three Mile Island constitue l’archétype historique de la désynchronisation absolue entre le modèle mental des acteurs et l’état physique réel de l’installation. Dans l’esprit des opérateurs de TMI-2 régnait une prémisse thermodynamique fondamentale mais erronée dans ce contexte : ils postulaient que le circuit primaire d’un réacteur nucléaire fonctionne de manière quasi monophasique, où le niveau du pressuriseur est l’image fidèle et directe de la masse totale d’eau liquide contenue dans l’ensemble de la boucle primaire.

Or, dès lors que la soupape PORV est restée bloquée et que la pression s’est effondrée sous le point de saturation thermique de l’eau, le circuit est entré dans un régime diphasique violent, hautement non linéaire et chaotique. Dans un tel état, la thermodynamique dicte que l’eau liquide et la vapeur se séparent en fonction des gradients de densité et de gravité : l’eau liquide tombait vers le bas de la cuve pour s’y évaporer au contact des crayons de combustible surchauffés, tandis que les immenses bulles de vapeur ascendantes poussaient le bouchon d’eau liquide du pressuriseur vers le haut de sa colonne, simulant un niveau plein. Le modèle mental des opérateurs, linéaire et simpliste, était totalement découplé de la physique quantique et thermodynamique sous-jacente. Il existait un fossé infranchissable entre le réacteur réel — en train de fondre par manque d’eau — et le réacteur imaginé par l’équipe — qu’elle croyait saturé de fluide et menacé de surpression mécanique.

5.2 La rupture de la transparence écologique du système

La théorie de l’interface écologique, formulée plus tard par des chercheurs comme Kim Vicente et Jens Rasmussen, postule qu’un système complexe doit être conçu pour rendre transparentes ses contraintes physiques et fonctionnelles sous-jacentes à travers les affichages de son interface. À Three Mile Island, la transparence écologique était rigoureusement inexistante. L’installation se comportait comme une boîte noire opaque dont les mécanismes causaux profonds étaient dissimulés derrière des indicateurs ponctuels et désarticulés. Les opérateurs disposaient d’informations directes sur des variables d’état locales (pression du pressuriseur, niveau dans un réservoir, température en un point spécifique), mais d’aucune information directe sur les flux énergétiques globaux, les bilans de masse et d’énergie, ou la thermodynamique intégrée du cœur.

L’invisibilité des processus internes non directement instrumentés privait les opérateurs de toute capacité de déduction des propriétés émergentes de l’état instable. Il n’existait aucun instrument mesurant le niveau d’eau réel à l’intérieur de la cuve du réacteur au-dessus du combustible. Les concepteurs avaient estimé qu’un tel capteur était superflu, arguant que le niveau du pressuriseur suffisait à déduire le remplissage de la cuve dans les conditions de conception habituelles. De même, aucun calcul automatisé ne reliait la mesure de la pression à celle de la température pour indiquer instantanément si le fluide primaire se trouvait en état d’eau sous-refroidie ou au point de saturation (ébullition). Les opérateurs devaient effectuer eux-mêmes cette conversion mentale en consultant manuellement des tables thermodynamiques papier sous forme de graphiques de vapeur d’eau complexes au beau milieu d’une tempête d’alarmes, une tâche cognitivement intenable qui consomma un temps précieux et masqua l’ébullition généralisée du cœur.

5.3 Les limites de la formation face aux états hors conception

La formation dispensée aux équipes de conduite de Three Mile Island a constitué l’un des maillons les plus défaillants de l’édifice de sûreté. Cette préparation reposait quasi exclusivement sur des cursus d’ingénierie formels et des séances de simulateur hautement stéréotypées. L’entraînement sur simulateur ne confrontait les stagiaires qu’à des scénarios standardisés, conformes aux accidents dits de dimensionnement : arrêts d’urgence simples, pertes complètes de courant électrique, ou ruptures massives et franches de conduites primaires où les symptômes sont limpides, immédiats et univoques. Les procédures opératoires étaient rédigées sous forme de logigrammes événementiels rigides imposant une séquence stricte : « si événement X identifié, alors appliquer procédure Y ».

Ces méthodes pédagogiques échouèrent lamentablement à préparer les équipes à la réalité des pannes combinées, sournoises et masquées par des artefacts instrumentaux. Les opérateurs n’avaient jamais été formés à gérer une brèche primaire survenant précisément au sommet du pressuriseur, ni à faire face au dilemme tragique d’un faux niveau haut dans ce dernier. Leur modèle mental appris était calibré pour des incidents nominaux prévisibles, non pour des configurations accidentelles inédites sortant du cadre de conception de base. Dès lors que l’incident réel franchit les frontières des manuels standardisés, les équipes furent projetées dans un vide procédural absolu, dépourvues des compétences heuristiques et de l’entraînement cognitif nécessaires pour réinventer en temps réel une stratégie d’atténuation adaptée.

6. La Commission Kemeny et l’institutionnalisation des facteurs humains

6.1 Les conclusions de l’enquête fédérale : un constat accablant

Face à la gravité sans précédent de la crise et à la panique publique qu’elle avait déclenchée, le président américain Jimmy Carter nomma dès avril 1979 une commission présidentielle spéciale d’enquête indépendante, placée sous la direction du mathématicien et président du Dartmouth College, John Kemeny. Après six mois d’auditions minutieuses, d’analyses techniques et d’interrogatoires, le rapport final de la Commission Kemeny, publié en octobre 1979 et intitulé The Need for Change: The Legacy of TMI, asséna un verdict qui ébranla l’industrie nucléaire mondiale jusque dans ses fondements les plus assurés.

La conclusion maîtresse du rapport Kemeny affirmait de manière catégorique que la cause fondamentale de l’accident de Three Mile Island ne résidait point dans des défaillances mécaniques isolées, mais dans ce que la commission désigna sous l’expression devenue historique d’« élément humain » (the human factor). La commission refusa explicitement de faire porter le chapeau aux seuls opérateurs de quart, dénonçant avec vigueur toute tentative d’en faire des boucs émissaires commodes. Le rapport démontra que les quatre opérateurs présents en salle de commande s’étaient comportés avec un dévouement absolu et conformément à la formation médiocre qu’ils avaient reçue. L’acte d’accusation de la Commission Kemeny ciblait l’ensemble de l’appareil institutionnel : la direction de l’exploitant Metropolitan Edison pour son impéritie managériale et son mépris de la sécurité au profit de la productivité, le constructeur Babcock & Wilcox pour l’obscurité de sa documentation technique, et l’agence fédérale de réglementation (la NRC) pour son aveuglement bureaucratique et son incapacité à inspecter rigoureusement les compétences humaines.

6.2 La redéfinition du rôle des facteurs organisationnels

Le rapport Kemeny a agi comme le pionnier de ce qui deviendra la sociologie des désastres et la théorie des accidents organisationnels. L’une des révélations les plus accablantes de l’enquête fédérale fut la mise au jour d’un incident quasiment jumeau survenu dix-huit mois plus tôt, le 24 septembre 1977, à la centrale de Davis-Besse, exploitée dans l’Ohio avec un réacteur identique conçu par Babcock & Wilcox. À Davis-Besse, la vanne PORV était également restée bloquée en position ouverte, induisant une montée erronée du niveau du pressuriseur et poussant les opérateurs à interrompre l’injection de sécurité haute pression. Par chance, à Davis-Besse, un opérateur avait identifié l’anomalie après seulement vingt minutes et avait isolé la vanne, évitant ainsi la fusion du cœur.

Des notes internes rédigées par des ingénieurs clairvoyants de Babcock & Wilcox (notamment le célèbre mémo Walters de 1977) et de la NRC avaient analysé l’incident de Davis-Besse et averti explicitement que si cette situation se reproduisait à pleine puissance sans que les procédures ne soient corrigées pour interdire l’arrêt manuel de l’injection de sécurité, un dénoyage catastrophique du cœur surviendrait sous peu. Ces avertissements précurseurs avaient été engloutis dans les méandres administratifs de l’organisation : niés par les gestionnaires, non distribués aux centrales clientes et ignorés par les inspecteurs réglementaires. La Commission Kemeny mit en lumière cette cécité organisationnelle structurelle, démontrant qu’un accident industriel n’est jamais un événement impromptu, mais l’aboutissement prévisible d’une longue période d’incubation organisationnelle durant laquelle les signaux d’alerte sont collectivement étouffés ou négligés.

6.3 L’amorce d’une transformation législative et réglementaire

L’onde de choc du rapport Kemeny contraint le gouvernement américain et les instances de régulation mondiales à engager une refonte législative sans précédent. La Nuclear Regulatory Commission fut soumise à une restructuration interne drastique. Par le biais des publications fondatrices NUREG-0578 et NUREG-0737 (intitulées TMI Action Plan Requirements), le régulateur imposa des dizaines de nouvelles normes de conception obligatoires pour toutes les centrales existantes et futures, transformant la conformité réglementaire.

Pour la première fois dans l’histoire industrielle, l’ingénierie des facteurs humains (Human Factors Engineering – HFE) acquit un statut légal obligatoire au même titre que la résistance des matériaux ou la mécanique des fluides. Des exigences strictes furent décrétées : obligation de réaménager entièrement les salles de commande selon des critères ergonomiques vérifiables, présence permanente en centrale d’un ingénieur de sûreté indépendant (le Shift Technical Advisor), refonte complète des procédures d’urgence, et standardisation poussée des formations. Parallèlement, l’industrie comprit que la réglementation étatique ne suffisait pas et que la sécurité d’une seule centrale engageait l’avenir de l’ensemble de la filière nucléaire, préparant le terrain pour la création d’organismes de surveillance corporative entièrement inédits.

7. Taxonomie de l’erreur humaine : apports théoriques majeurs post-TMI

7.1 Le modèle SRK de Jens Rasmussen appliqué à la conduite nucléaire

L’accident de Three Mile Island servit de substrat expérimental à l’une des théorisations les plus fécondes des sciences cognitives industrielles : le modèle SRK (Skill, Rule, Knowledge-based behavior), formulé au début des années 1980 par l’ingénieur et psychologue danois Jens Rasmussen. Rasmussen postule que l’opérateur humain interagit avec un système technique complexe à travers trois niveaux graduels de contrôle cognitif :

• Le niveau des habiletés (Skill-based) : régissant les actions hautement automatisées, les réflexes moteurs et le savoir-faire sensorimoteur inconscient ne réclamant aucune attention soutenue.
• Le niveau des règles (Rule-based) : mobilisé face à des situations familières reconnues, où l’opérateur applique des procédures ou des règles mémorisées structurées sous la forme de conditions-actions (« si anomalie A, alors action B »).
• Le niveau des connaissances (Knowledge-based) : activé lorsque le système bascule dans un état inédit, imprévu ou hors conception, pour lequel aucune procédure n’existe. L’opérateur doit alors abandonner les règles prédéfinies pour raisonner directement à partir des principes physiques fondamentaux du système.

L’analyse fine de TMI-2 révèle l’échec tragique de la transition cognitive entre ces différents modes. Les opérateurs ont abordé la crise en mode réglé (rule-based), appliquant consciencieusement la règle apprise « si le niveau du pressuriseur monte, réduisez l’injection d’eau ». Lorsque cette action s’est avérée incapable de stabiliser la chaudière et que les symptômes anormaux se sont multipliés, les opérateurs auraient dû basculer en mode basé sur les connaissances (knowledge-based) pour redéduire la thermodynamique diphasique du cœur. Or, comme le démontre Rasmussen, le passage au mode basé sur les connaissances est cognitivement épuisant, extrêmement lent et hautement vulnérable aux biais psychologiques sous stress aigu. Faute d’un soutien ergonomique adéquat et de modèles mentaux appropriés, les opérateurs sont restés dramatiquement bloqués dans un mode basé sur des règles obsolètes, incapables d’engager le raisonnement abstrait nécessaire à la survie du cœur.

7.2 La théorie des défaillances latentes et des erreurs actives de James Reason

Dans le sillage des réflexions post-TMI, le psychologue britannique James Reason révolutionne l’analyse de la sécurité industrielle en publiant sa théorie fondamentale sur les défaillances des systèmes sociotechniques complexes. Reason y forge la distinction conceptuelle cruciale entre deux typologies d’erreurs :

• Les erreurs actives : commises par les opérateurs de première ligne (pilotes, aiguilleurs, exploitants de quart), dont les conséquences négatives se manifestent de manière quasi instantanée au point de contact avec le système matériel.
• Les conditions ou défaillances latentes : dormantes au sein de l’organisation pendant des mois ou des années, engendrées par des décisions néfastes prises en amont par les concepteurs, les ingénieurs de maintenance, les rédacteurs de procédures, les gestionnaires et les législateurs.

Three Mile Island devient l’illustration magistrale de ce que Reason vulgarise sous le nom de « modèle du fromage suisse ». Une catastrophe industrielle ne survient jamais en raison d’une seule erreur humaine isolée. Elle se produit lorsqu’une série d’erreurs actives et de conditions latentes s’alignent parfaitement, traversant les perforations successives de toutes les barrières de défense matérielles, procédurales et organisationnelles du système. À TMI, les défaillances latentes (vannes d’eau de secours isolées par erreur lors d’une maintenance antérieure, absence de capteur mécanique sur la soupape PORV, mémos de Davis-Besse ignorés, formation pauvre sur le régime diphasique) ont créé un environnement intrinsèquement vulnérable dans lequel l’erreur active des opérateurs (l’arrêt de l’injection haute pression) n’a été que le déclencheur terminal d’un piège organisationnel tendu de longue date par le système lui-même.

7.3 La typologie des erreurs : bévues, lapsus, fautes et violations

L’un des apports majeurs de la recherche en facteurs humains post-TMI a été la clarification taxonomique fine de la notion d’erreur, trop longtemps amalgamée dans un concept fourre-tout. Reason et Rasmussen ont scindé les défaillances de l’action humaine en quatre catégories rigoureuses :

• Les bévues (slips) : échecs de l’exécution motrice d’un plan par ailleurs correct (ex. actionner par inadvertance l’interrupteur A au lieu de l’interrupteur B situé juste à côté).
• Les lapsus (lapses) : défaillances de la mémoire interne (ex. oublier une étape lors de la récitation mentale d’une liste de vérification).
• Les fautes (mistakes) : erreurs de jugement et de diagnostic où le plan d’action exécuté est rigoureusement appliqué, mais où le plan lui-même est faux en raison d’une mauvaise évaluation de la situation. On distingue ici les fautes fondées sur des règles inadaptées et les fautes conceptuelles fondées sur des connaissances erronées.
• Les violations : dérogations conscientes et délibérées aux règles ou procédures établies, sans intention malveillante de causer un dommage.

Grâce à cette nomenclature scientifique, l’analyse de Three Mile Island a établi de façon irréfutable que la gestion catastrophique de TMI-2 ne relevait en aucun cas de la bévue mécanique ou du lapsus amnésique, et encore moins du sabotage malveillant. Les opérateurs ont commis une succession tragique de fautes de diagnostic (mistakes) de premier ordre. Ils ont appliqué avec un professionnalisme rigoureux et méthodique une procédure établie de lutte contre le surremplissage du circuit primaire qui était simplement catastrophiquement inappropriée à la situation de brèche physique non diagnostiquée dans laquelle se débattait le réacteur.

8. Ingénierie cognitive et conscience de la situation (Situation Awareness)

8.1 Le modèle triadique de Mica Endsley appliqué à Three Mile Island

Formalisé ultérieurement par la chercheuse américaine Mica Endsley au sein de l’industrie aéronautique militaire avant d’être massivement adopté par l’industrie nucléaire, le concept de conscience de la situation (Situation Awareness ou SA) définit l’état dynamique de perception et de compréhension qu’un opérateur entretient avec son environnement opérationnel. Endsley structure la SA en un modèle pyramidal à trois niveaux cognitifs interdépendants :

• Niveau 1 : La perception des éléments de l’environnement (Perception) : capacité de capter les grandeurs physiques critiques (pressions, débits, positions de vanne, voyants).
• Niveau 2 : La compréhension de la situation actuelle (Comprehension) : intégration des données perceptives éparses en un tableau cohérent pour leur donner du sens par rapport aux objectifs de sûreté.
• Niveau 3 : La projection de l’état futur (Projection) : capacité prédictive d’anticiper la trajectoire dynamique du système dans le temps pour poser des actions préventives.

L’accident de TMI-2 offre un cas d’école de délitement simultané de ces trois strates cognitives. Au niveau 1, la perception fut corrompue par l’ambiguïté sémiotique des affichages : les opérateurs perçurent le voyant de la vanne PORV comme une information de fermeture mécanique et perçurent l’indicateur de niveau du pressuriseur sans percevoir la pression réelle globale du cœur. Au niveau 2, la compréhension fut totalement inversée : les opérateurs interprétèrent la montée du niveau d’eau comme le signe d’une chaudière trop pleine, échouant à comprendre que cette donnée traduisait en réalité un phénomène d’ébullition diphasique déplaçant la masse de fluide. Enfin, le niveau 3 fut inexistant : totalement incapables de comprendre l’état présent, les exploitants furent dans l’incapacité absolue d’anticiper la projection future, à savoir que l’arrêt de l’injection d’eau conduirait de manière mathématique à l’exposition à l’air libre et à la fusion pyrolytique des crayons de combustible nucléaire deux heures plus tard.

8.2 La dynamique d’effondrement du sens (Sensemaking) selon Karl Weick

Le sociologue et théoricien des organisations Karl Weick a analysé l’accident de Three Mile Island sous l’angle de la fabrication du sens (sensemaking). Weick décrit les systèmes à haute fiabilité comme reposant sur des « cosmologies professionnelles », c’est-à-dire des visions du monde ordonnées et rationnelles au sein desquelles les praticiens savent identifier les causes, relier les effets et légitimer leur statut professionnel. Face à des incidents mineurs ordinaires, les opérateurs maintiennent cette cosmologie par des micro-ajustements permanents.

À Three Mile Island, l’irruption de signaux radicalement contradictoires et incompréhensibles a provoqué ce que Weick désigne sous le terme clinique d’« épisode cosmologique » (cosmology episode). Un épisode cosmologique survient lorsque l’environnement cesse d’avoir le moindre sens, détruisant instantanément le sentiment de compétence, d’ordre et de prévisibilité des acteurs. Lorsque les alarmes de radiations s’allumèrent sans que l’équipe ne comprenne d’où s’échappait le fluide radioactif, et que les manomètres indiquaient des pressions incompatibles avec les lois de la thermodynamique élémentaire, l’univers opérationnel des opérateurs s’effondra. Cette panique cognitive ne se traduisit pas par une hystérie physique, mais par une paralysie herméneutique : les exploitants restèrent hébétés, passant de longues minutes à débattre stérilement devant des enregistreurs à rouleau ou à chercher des confirmations improbables, incapables de construire une narration mentale alternative capable de restaurer le sens de leur univers de travail effondré.

8.3 Mécanismes de rétablissement de la conscience collective

La sortie de cette dérive cognitive destructrice ne put se faire par l’équipe de quart initiale, dont les mécanismes de pensée étaient définitivement enfermés dans le piège de la confirmation d’hypothèse. Le sauvetage de l’installation nécessita l’introduction d’un regard extérieur non contaminé par les biais précédents. Ce basculement décisif s’opéra vers 06 h 00 du matin avec l’arrivée progressive en salle de commande de l’équipe de relève de jour, accompagnée d’ingénieurs d’exploitation et de cadres techniques frais et dispos.

Parmi eux, un opérateur de relève nommé Brian Mehler s’étonna immédiatement des lectures fournies par les thermocouples du cœur et de la température très élevée mesurée sur le tuyau d’échappement de la vanne PORV (plus de 135 °C). N’ayant pas vécu la construction psychologique du scénario de « pressuriseur plein » depuis 04 h 00 du matin, cette nouvelle équipe posa des questions naïves et fondamentales : « Pourquoi cette conduite de décharge est-elle brûlante si la vanne est censée être fermée ? » Cette interpellation permit enfin de briser l’hypnose collective. À 06 h 22, après avoir vérifié les données de température directement sur le collecteur d’échappement, l’équipe prit la décision salutaire d’actionner la vanne d’isolement motorisée située immédiatement en amont de la soupape coincée. En quelques minutes, la brèche primaire fut colmatée, la pression cessa de chuter et la conscience collective de la situation commença enfin à converger vers la réalité matérielle du désastre en cours.

9. Dynamique de groupe, communication et gestion des ressources d’équipage

9.1 La communication verbale et formelle dans la conduite de crise

Les enregistrements et les dépositions recueillis lors des commissions d’enquête ont révélé une déliquescence marquée des protocoles de communication verbale à l’intérieur de la salle de commande de TMI-2 pendant la phase aiguë de l’accident. Dans les installations industrielles complexes de cette époque, la transmission des ordres et des observations reposait sur des habitudes de langage informelles, héritées des chantiers de construction navale ou des pratiques industrielles classiques, dépourvues de rigueur sémiotique.

L’équipe ne pratiquait absolument pas ce que l’on nomme aujourd’hui la communication en boucle fermée (closed-loop communication ou three-way communication). Lorsqu’un chef de quart lançait un ordre tel que « Réduisez l’injection haute pression », l’opérateur récepteur n’accusait pas formellement réception de la consigne en répétant la valeur cible, et n’attendait pas la confirmation finale de son émetteur avant d’agir. Pire encore, de nombreuses observations critiques émises à voix basse par des techniciens subalternes — tels que des doutes sur les niveaux d’eau ou les alertes sur le démarrage intempestif des pompes de puisard — se perdirent littéralement dans le vacarme des alarmes sans être jamais relayées ou entendues par les décideurs principaux. Ces ambiguïtés sémantiques récurrentes créèrent des zones d’ombre informationnelles permanentes au sein de l’équipe, fragmentant le savoir collectif en une mosaïque de perceptions individuelles non partagées.

9.2 Leadership, autorité et pensée de groupe (Groupthink)

Les interactions psychosociales au sein de l’équipe de TMI-2 ont également pâti des effets pervers du gradient d’autorité et du phénomène de pensée de groupe (Groupthink), conceptualisé par le psychologue social Irving Janis. Dans la salle de commande régnait une hiérarchie pyramidale rigide, au sein de laquelle l’autorité opérationnelle reposait sur l’ingénieur superviseur de quart. Une fois que ce dernier eut avalisé l’hypothèse d’une centrale en excès d’eau liquide, une pression implicite à la conformité s’exerça sur l’ensemble du groupe.

L’expression du doute méthodologique ou du questionnement contradictoire n’était soutenue par aucune structure institutionnelle. Les jeunes opérateurs présents, bien qu’éprouvant parfois une perplexité croissante devant des indicateurs aberrants, s’autocensurèrent par déférence envers l’expérience supposée supérieure de leurs aînés ou par crainte d’apparaître incompétents face à la chaîne de commandement. Cette dynamique favorisa l’émergence d’une illusion collective de consensus : l’équipe crut sincèrement que tout le monde partageait le même diagnostic avec certitude, alors que chacun hébergeait secrètement des doutes inexprimés. Ce verrouillage sociologique empêcha l’émergence d’un avocat du diable ou d’une remise en question salutaire de la ligne d’action désastreuse adoptée dès les premières minutes.

9.3 L’émergence du concept de Crew Resource Management (CRM) dans le nucléaire

Cette faillite collective a accéléré un transfert méthodologique capital entre l’aviation commerciale et l’industrie nucléaire. À la fin des années 1970, l’aviation civile américaine subissait des catastrophes comparables (comme la collision géante de Tenerife en 1977 ou le crash de l’United Airlines 173 en 1978) causées non par des pannes avioniques, mais par des défaillances de communication et d’autorité dans le cockpit. Sous l’égide de la NASA, l’aviation développa le concept de Cockpit Resource Management, rapidement rebaptisé Crew Resource Management (CRM).

L’industrie nucléaire adopta massivement cette philosophie après Three Mile Island, en adaptant les principes du CRM aux salles de commande. L’entraînement des exploitants ne se limita plus à la simple validation de compétences techniques individuelles, mais s’étendit de manière obligatoire aux compétences non techniques (soft skills) : leadership situationnel, communication affirmative et respectueuse, gestion concertée de la charge mentale, vérification croisée mutuelle des ordres (cross-checking) et résolution structurée des désaccords. Par ailleurs, pour casser définitivement les dynamiques de groupe néfastes, les autorités imposèrent l’intégration obligatoire, au sein de chaque équipe de conduite, d’un ingénieur d’assistance technique de sûreté (Shift Technical Advisor – STA), déchargé de toute tâche de pilotage immédiate et doté d’une indépendance hiérarchique lui permettant de prendre du recul pour surveiller en permanence le statut fondamental des grandes fonctions de sûreté de l’installation.

10. Refonte des interfaces homme-machine et conception centrée sur l’humain

10.1 L’évolution de la présentation de l’information : de l’analogique au numérique

L’électrochoc ergonomique de TMI-2 a conduit à une métamorphose radicale de l’ingénierie des interfaces homme-machine (IHM) dans les installations critiques. L’époque où l’on pouvait concevoir une salle de contrôle comme une simple juxtaposition anarchique d’instruments vendus par différents sous-traitants fut définitivement révolue. Les régulateurs imposèrent des audits ergonomiques exhaustifs de tous les panneaux de bord mondiaux (les Detailed Control Room Design Reviews ou DCRDR), contraignant les exploitants à modifier les couleurs, à supprimer les voyants ambigus, à créer des démarcations graphiques nettes (mimiques fonctionnelles) sur les panneaux pour matérialiser visuellement les circuits de fluide, et à regrouper les commandes selon une téléologie opérationnelle cohérente.

L’avancée majeure issue directement des leçons de TMI fut le développement réglementaire du panneau d’affichage des paramètres de sécurité (Safety Parameter Display System ou SPDS). Face au constat qu’un équipage saturé ne peut pas agréger mentalement des centaines d’alarmes disparates, le SPDS introduisit les premiers écrans à tubes cathodiques puis numériques dédiés à la synthèse macroscopique de l’état de l’installation. Sur un écran unique, le SPDS regroupe en permanence, sous une forme visuelle standardisée et intuitive, les six paramètres cardinaux de la sûreté : réactivité du cœur, inventaire d’eau primaire, évacuation de chaleur du cœur, intégrité du circuit primaire, intégrité de l’enceinte de confinement, et rejets radiologiques. Dès lors, quelle que soit la confusion locale des alarmes physiques, l’équipe dispose d’un instrument fiabilisé mesurant en temps réel si les fonctions vitales de l’installation sont menacées.

10.2 L’approche par état plutôt que par événement

La transformation la plus profonde et la plus novatrice apportée par Three Mile Island réside incontestablement dans l’abandon conceptuel des procédures de conduite par événement au profit de l’Approche Par État (APE), connue dans le monde anglo-saxon sous le nom d’Emergency Operating Procedures (EOP) symptomatiques (Symptom-Based EOPs). Avant 1979, la gestion d’un accident était strictement événementielle : l’opérateur devait d’abord identifier avec exactitude l’événement initiateur précis (ex. « brèche de tuyauterie secondaire de 50 mm » ou « rupture de tube de générateur de vapeur »), puis exécuter le manuel de procédures spécifiquement rédigé pour cet accident précis. Si l’opérateur se trompait dans son identification initiale — comme ce fut dramatiquement le cas à TMI —, l’ensemble des procédures appliquées devenait toxique et menait à la ruine de l’installation.

L’Approche Par État a totalement inversé cette logique. Dans cette méthode de conduite révolutionnaire développée notamment par le CEA et EDF en France et les groupements d’exploitants Westinghouse et Combustion Engineering aux États-Unis, l’opérateur n’a plus besoin de deviner la cause première de l’accident pour agir correctement. Il lui suffit d’observer l’état thermodynamique et physique présent de l’installation à travers quelques macro-variables objectives (pression, température, niveau, radioactivité). Si l’état physique montre que le cœur n’est plus refroidi de manière satisfaisante, la procédure impose immédiatement et automatiquement des actions de restauration thermique (telles que le gavage en eau ou l’ouverture volontaire de soupapes de décharge pour faire chuter la pression), peu importe que la cause fondamentale soit une vanne cassée, une fuite d’eau, un séisme ou une erreur humaine. L’APE a ainsi immunisé les stratégies de sûreté contre les fautes de diagnostic initiales des opérateurs, sanctuarisant la préservation des barrières physiques de confinement indépendamment de l’histoire causale de l’événement.

10.3 L’ingénierie de la résilience appliquée aux interfaces modernes

L’accident de Three Mile Island a fourni les fondations théoriques de ce qui est désormais conceptualisé sous le nom d’ingénierie de la résilience (Resilience Engineering), portée par des penseurs contemporains tels qu’Erik Hollnagel et David Woods. L’ingénierie de la résilience part du principe que l’erreur humaine est inévitable et consubstantielle à la nature faillible de l’être humain opérant dans des environnements complexes. Par conséquent, la sûreté d’un système sociotechnique ne consiste pas à tenter vainement d’éradiquer toute erreur humaine par des punitions ou des automatismes stérilisants, mais à concevoir des systèmes capables de tolérer l’erreur sans s’effondrer, en amortissant ses impacts et en offrant aux opérateurs les marges de manœuvre temporelles et matérielles nécessaires pour récupérer leurs défaillances.

Sur le plan des interfaces modernes, cette approche s’est traduite par l’abandon des logiques de contrôle direct au profit de dispositifs de confirmation logicielle et de temporalité sécurisée. Si un opérateur tente d’arrêter manuellement une pompe d’injection de sécurité alors que les paramètres physiques démontrent que le cœur est en détresse, les systèmes numériques de contrôle-commande modernes (DCS) refusent d’exécuter l’ordre ou imposent un temps de latence de sécurité (veto logique) contraignant l’équipage à valider plusieurs conditions explicites avant d’inhiber une fonction de sauvegarde. De plus, la mise en place systématique de tests ergonomiques approfondis sur des simulateurs pleine échelle lors de la conception des réacteurs modernes garantit que toute nouvelle interface a été testée et validée empiriquement face aux pires scénarios de confusion cognitive avant son déploiement en centrale commerciale.

11. Transformation institutionnelle, formation et culture de sécurité

11.1 La révolution des programmes de formation sur simulateur

Jusqu’en mars 1979, la formation sur simulateur de réacteur nucléaire était une activité d’appoint, souvent facultative ou limitée à quelques jours lors de l’embauche initiale, effectuée sur des simulateurs génériques qui ne reproduisaient que très approximativement l’ergonomie spécifique de la centrale d’affectation des opérateurs. Three Mile Island a rendu obsolète cette approche artisanale, imposant une refonte intégrale de la pédagogie de crise.

La nouvelle législation a imposé à chaque exploitant l’obligation absolue de disposer d’un simulateur réplique pleine échelle (Full-Scope Simulator), reproduisant au millimètre près l’intégralité des panneaux de bord, des voyants, des afficheurs et des temps de réponse dynamiques de la salle de commande réelle de l’unité exploitée. Les programmes de certification et de maintien des compétences des opérateurs furent profondément restructurés : obligation de recyclage périodique (une semaine sur simulateur toutes les six semaines pour chaque équipe de quart), introduction obligatoire dans les cursus d’accidents graves non anticipés et de pannes combinées vicieuses, et évaluation systématique des capacités cognitives, de la gestion du stress et de la communication de crise sous le contrôle d’inspecteurs fédéraux indépendants. Le simulateur est ainsi passé du statut d’outil d’illustration mécanique à celui de laboratoire de psychologie cognitive appliquée, où les exploitants apprennent à désamorcer collectivement leurs propres biais de raisonnement.

11.2 La naissance d’organismes de standardisation et de surveillance

L’un des héritages institutionnels les plus pérennes de Three Mile Island a été la prise de conscience collective de l’industrie nucléaire que l’incompétence ou la défaillance d’une seule entreprise exploitante menaçait la survie économique de l’ensemble du secteur énergétique mondial. Neuf mois seulement après l’accident, en décembre 1979, les dirigeants des compagnies d’électricité américaines s’unirent pour fonder une organisation d’auto-surveillance totalement inédite : l’Institut des opérations de l’énergie nucléaire (Institute of Nuclear Power Operations – INPO).

L’INPO fut doté d’une autorité sans précédent : financé par les exploitants mais totalement indépendant de leurs directions managériales respectives, l’institut établit des normes d’excellence opérationnelle draconiennes, procède à des audits inopinés très approfondis de chaque centrale nucléaire, note la performance de chaque site et dispose du pouvoir d’exiger la mise à pied de directions incompétentes sous peine de sanctions économiques massives ou de retrait des assurances obligatoires. Après la catastrophe de Tchernobyl en 1986, le modèle de l’INPO fut internationalisé à travers la création de l’Association mondiale des exploitants nucléaires (WANO – World Association of Nuclear Operators). Ces organismes ont institutionnalisé le partage planétaire du retour d’expérience d’exploitation (REX), garantissant que chaque incident survenant dans le monde fait désormais l’objet d’une analyse fine des facteurs humains, immédiatement distribuée à l’ensemble des salles de commande de la planète pour éviter qu’un avertissement précurseur ne reste ignoré, comme le fut tristement le précédent de Davis-Besse en 1977.

11.3 L’émergence formelle du concept de culture de sécurité

Bien que formalisé de manière explicite par l’Agence Internationale de l’Énergie Atomique (AIEA) dans son rapport INSAG-4 au lendemain de la tragédie de Tchernobyl, le concept fondamental de culture de sécurité (Safety Culture) puise sa sève intellectuelle directe dans les leçons dégagées de Three Mile Island. TMI a révélé qu’une centrale nucléaire ne peut pas être exploitée en toute sûreté si l’organisation qui la gouverne n’accorde pas une primauté absolue et inconditionnelle à la sécurité sur les impératifs de rentabilité financière et de production électrique continue.

Cette transformation culturelle s’est traduite par une requalification profonde de la relation que l’organisation entretient avec l’erreur humaine. La culture de sécurité moderne récuse la culture punitive traditionnelle, reconnaissant que la peur de la sanction individuelle ne fait que pousser les opérateurs à dissimuler leurs erreurs, leurs doutes et les incidents mineurs, privant ainsi l’entreprise des signaux faibles essentiels à son apprentissage organisationnel continu. La culture de sécurité promeut une « culture juste » (Just Culture), qui encourage le signalement proactif et transparent des anomalies par les agents de terrain, tout en délimitant rigoureusement la frontière morale entre l’erreur cognitive involontaire — qui doit être analysée et comprise pour améliorer l’environnement ergonomique de travail — et la violation délibérée ou la négligence grossière qui, elles seules, relèvent de sanctions disciplinaires managériales.

12. Héritage contemporain et transférabilité aux systèmes sociotechniques complexes

12.1 La résonance avec d’autres catastrophes industrielles majeures

Les invariants cognitifs et sociotechniques disséqués lors de l’accident de Three Mile Island ne sont pas des anomalies confinées au secteur nucléaire de 1979 ; ils représentent la signature universelle des fafaillances humaines au sein des systèmes technologiques fortement couplés et hautement complexes, tels que décrits par le sociologue Charles Perrow dans sa théorie fondatrice des accidents normaux (Normal Accidents).

Une analyse croisée révèle des similitudes troublantes entre TMI et d’autres désastres technologiques contemporains majeurs :

• La navette spatiale Challenger (1986) : où la pression gestionnaire et la normalisation progressive de la déviance ont conduit la NASA à ignorer les alertes répétées des ingénieurs sur la défaillance thermique des joints toriques, rappelant l’aveuglement organisationnel face aux mémos d’alerte de Davis-Besse.
• La catastrophe de Tchernobyl (1986) : bien que caractérisée par des violations délibérées de procédures dans un contexte autoritaire rigide, elle a également mis en lumière l’opacité sémiotique criminelle de l’instrumentation du réacteur RBMK et la rupture totale de la conscience de situation des opérateurs lors du transitoire accidentel.
• La catastrophe de Fukushima Daiichi (2011) : si l’initiateur premier fut le tremblement de terre et le tsunami dévastateur du Tōhoku, la gestion de crise post-impact par la direction de TEPCO et les agences japonaises a réitéré les mêmes failles de communication hiérarchique, de vide procédural face à des situations hors dimensionnement et de décalage entre les modèles mentaux de l’état-major et l’agonie physique des réacteurs sur le terrain.

12.2 L’exportation des principes vers la médecine et l’aviation

L’héritage intellectuel né de l’analyse des facteurs humains de Three Mile Island a largement débordé les frontières du génie nucléaire pour irriguer d’autres domaines d’activité à sécurité critique, au premier rang desquels figurent la médecine hospitalière et l’aviation de ligne moderne. L’univers médical, historiquement dominé par une culture individualiste d’infaillibilité du médecin prescripteur, a traversé une révolution salutaire calquée point par point sur la mutation post-TMI. Sous l’impulsion du rapport séminal de l’Institute of Medicine américain en 1999 (To Err is Human), les blocs opératoires et les services de réanimation ont adopté les protocoles d’ingénierie cognitive et de CRM issus du nucléaire.

L’introduction obligatoire de listes de vérification standardisées (checklists) avant toute incision chirurgicale, l’adoption de communications en boucle fermée lors de l’administration médicamenteuse d’urgence, et la refonte ergonomique des pompes à perfusion et des respirateurs d’anesthésie — afin d’éviter qu’une fausse lecture ou un détrompeur mal conçu ne conduise à l’injection létale d’un mauvais gaz — constituent le prolongement direct des découvertes ergonomiques nées à Harrisburg. De la même manière, l’aviation commerciale contemporaine a développé le concept de Glass Cockpit et de pilotage centré sur l’humain, garantissant que l’ordinateur de bord synthétise les données pour soutenir la conscience de situation du commandant de bord plutôt que de le court-circuiter dans l’incompréhension algorithmique.

12.3 L’intelligence artificielle et l’autonomie contemporaine : les nouveaux défis

À l’ère de l’intelligence artificielle générative, des réseaux de neurones profonds et des systèmes décisionnels semi-autonomes, les leçons de Three Mile Island résonnent avec une acuité et une fraîcheur intellectuelle saisissantes. L’introduction massive d’algorithmes complexes d’apprentissage automatique dans la conduite des réseaux électriques intelligents, des usines chimiques, de la finance à haute fréquence et des véhicules autonomes recrée, sous une forme infiniment plus subtile, le risque d’opacité cognitive qui avait piégé l’équipe de TMI-2 en 1979.

Lorsque des systèmes d’intelligence artificielle fondés sur des modèles opaques (le syndrome de la « boîte noire » algorithmique) prennent des décisions d’optimisation ou de régulation sans offrir une explicabilité claire de leur raisonnement sous-jacent, les opérateurs humains perdent leur conscience de la situation (SA). Ils glissent insensiblement vers ce que les ergonomes nomment le syndrome de désengagement cognitif ou la complaisance envers l’automatisation (automation complacency) : l’humain, habitué à ce que la machine prenne les commandes de manière apparemment infaillible, cesse d’analyser activement l’environnement réel et se retrouve incapable de reprendre le contrôle de manière lucide lorsque l’algorithme décroche face à une perturbation statistique non apprise dans ses bases de données d’entraînement. L’impératif catégorique issu de la tragédie de Three Mile Island — à savoir qu’aucun système technique ne peut être sûr s’il n’est pas pensé, instrumenté et architecturé autour des capacités perceptives, des modèles mentaux et de la psychologie de l’être humain qui en assume ultimement la responsabilité éthique et légale — demeure plus que jamais la boussole incontournable de l’ingénierie sociotechnique du XXIe siècle.

Références

• Endsley, M. R. (1995). Toward a theory of situation awareness in dynamic systems. Human Factors, 37(1), 32–64. https://doi.org/10.1518/001872095779049543
• Federal Aviation Administration. (2004). Crew Resource Management Training (Advisory Circular AC 120-51E). U.S. Department of Transportation. https://www.faa.gov/regulations_policies/advisory_circulars/index.cfm/go/document.information/documentID/22754
• Hollnagel, E., Woods, D. D., & Leveson, N. (2006). Resilience engineering: Concepts and precepts. Ashgate Publishing.
• International Atomic Energy Agency. (1991). Safety Culture (Safety Series No. 75-INSAG-4). IAEA. https://www.iaea.org/publications/3784/safety-culture
• Kemeny, J. G., Babbitt, B., Haggerty, P. E., Lewis, C., Marks, P. A., Marrett, C. B., McBride, L. F., McPherson, C. B., Peterson, R. W., Pigford, T. H., Taylor, T. B., & Trunk, A. D. (1979). Report of the President’s Commission on the Accident at Three Mile Island: The need for change: The legacy of TMI. U.S. Government Printing Office. https://www.osti.gov/biblio/5333333
• Perrow, C. (1984). Normal accidents: Living with high-risk technologies. Basic Books. https://press.princeton.edu/books/paperback/9780691078311/normal-accidents
• Rasmussen, J. (1983). Skills, rules, and knowledge; signals, signs, and symbols, and other distinctions in human performance models. IEEE Transactions on Systems, Man, and Cybernetics, SMC-13(3), 257–266. https://doi.org/10.1109/TSMC.1983.6313160
• Reason, J. (1990). Human error. Cambridge University Press. https://www.cambridge.org/core/books/human-error/A41DF0C910B8D0D37F2AE2112C70438D
• U.S. Nuclear Regulatory Commission. (1979). TMI-2 Lessons Learned Task Force status report and short-term recommendations (NUREG-0578). U.S. NRC. https://www.nrc.gov/reading-rm/doc-collections/nuregs/staff/sr0578/
• U.S. Nuclear Regulatory Commission. (1980). Clarification of TMI Action Plan Requirements (NUREG-0737). U.S. NRC. https://www.nrc.gov/reading-rm/doc-collections/nuregs/staff/sr0737/
• Vicente, K. J., & Rasmussen, J. (1992). Ecological interface design: Theoretical foundations. IEEE Transactions on Systems, Man, and Cybernetics, 22(4), 589–606. https://doi.org/10.1109/21.156574
• Weick, K. E. (1993). The collapse of sensemaking in organizations: The Mann Gulch disaster. Administrative Science Quarterly, 38(4), 628–652. https://doi.org/10.2307/2393372