Introduction

1Le Comité d’enquête sur l’accident de la centrale nucléaire de Fukushima, appartenant à la Tokyo Electric Power Company (TEPCO) a rendu, le 5 juillet 2012, son rapport final. Celui-ci est accablant. En dehors des faits précis reprochés respectivement à l’opérateur TEPCO, à l’Agence japonaise de sûreté nucléaire et au gouvernement japonais, on peut en retenir au moins deux conclusions inquiétantes.

2Premièrement, l’accident de Fukushima Daiichi, survenu le 11 mars 2011 à la suite du séisme et du tsunami, aurait pu être évité. Selon ce rapport, depuis 2006, l’opérateur et l’agence de sûreté nucléaire connaissaient en effet les risques d’une panne électrique totale et d’une perte des pompes à eau marine, dans l’éventualité où un tsunami atteindrait le niveau du site. Des études et des mesures concrètes n’ont néanmoins pas été entreprises. Pour justifier ce manquement, l’un des arguments principaux invoqués était la faible probabilité qu’un tsunami de cette ampleur ne se produise.

3La deuxième conclusion est tout aussi alarmante que la première : une réponse bien plus efficace à l’accident aurait pu être donnée. Ses effets auraient ainsi pu être amoindris. En effet, le rapport fait notamment état d’un manque de connaissance et de préparation du personnel sur le site, ainsi que d’une absence de clarté et de rapidité dans les instructions données par la direction. Il constate également que la communication au public et, en particulier, aux habitants proches du site les plus exposés à une forte contamination radioactive, a été vague et parfois tardive.

4Ces deux conclusions témoignent, d’une part, d’un contrôle épistémique partiel et imparfait de la part du groupe humain – constitué des employés de TEPCO et de l’organisme de contrôle – sur la centrale nucléaire et son environnement. Elles rendent compte, d’autre part, de l’inertie de ce groupe dans la prise de décision et dans l’action qui doit immédiatement suivre. Cependant, peut-il en être autrement ? Un collectif d’humains, même préparé de la meilleure façon au risque nucléaire, n’est-il pas de facto assujetti à l’imperfection épistémique et à une certaine inertie ?

5Dans cet article, je m’intéresse plus particulièrement au groupe d’ingénieurs qui, dans les bureaux d’étude, conçoit les centrales nucléaires et modélise les scenarii accidentels afin de calculer leur probabilité d’occurrence, prédire leurs conséquences et proposer des solutions. Je soutiens que ce groupe, aussi préparé qu’il soit face au risque nucléaire, ne peut asseoir un contrôle épistémique suffisant sur la machine nucléaire, car des difficultés insurmontables s’y opposent de fait. Ce défaut de contrôle pourrait, dans certains cas exceptionnels, avoir une incidence sur la sûreté nucléaire. Mon intention n’est donc pas de donner l’impression que les centrales nucléaires sont toujours dangereuses. Les systèmes de sûreté mis en place dans les centrales assurent, la plupart du temps, leur bon fonctionnement.

6Mon travail s’inscrit dans une épistémologie appliquée des groupes humains face au risque nucléaire. La méthode que j’ai adoptée n’est pas classique et peut surprendre les philosophes, dans la mesure où mes réflexions s’inscrivent dans le prolongement d’études sociologiques. Certes, de nombreuses études sur les sciences et les technologies portent sur la gestion du risque et en particulier du risque nucléaire (par exemple : Jasanoff, 1986, 2009 ; Marone, Woodhouse, 1986 ; Vaughan, 1996 ; Wildasky, 1988), mais la question de l’efficacité de l’organisation humaine face au risque nucléaire a été plus largement discutée en sociologie des organisations. Dans cet article, je fais état de ce débat et reprends ses résultats avant même de présenter ma propre critique philosophique. Cela me permet non seulement de ne pas occulter un débat scientifique d’importance, mais également d’ancrer mon travail dans un cadre scientifique déjà existant.

7La finalité politique du dit travail, si je puis y prétendre, est sans doute d’attirer l’attention des instances décisionnelles sur le point suivant : l’organisation des ressources humaines, reposant sur une division du travail et une répartition du savoir, constitue un facteur de risque à part entière. Ce facteur de risque doit être sérieusement pris en compte dans les décisions concernant la marche énergétique à suivre.

1. Les accidents normaux et les organisations à haute fiabilité

8L’organisation humaine mise en place dans une centrale nucléaire peut-elle faire face au risque nucléaire ? Cette question a reçu, depuis les années 80, une attention toute particulière de la part des sociologues des organisations. Plus généralement, ces derniers se sont interrogés sur l’efficacité des organisations humaines dans les entreprises à haut risque, à savoir les usines de produits chimiques, le contrôle du trafic aérien, les navires, les digues, les armes nucléaires ou encore les missions spatiales. Ce sujet les divise en deux écoles rivales. D’un côté, les partisans de la théorie des accidents normaux pensent que les centrales nucléaires sont des entreprises dangereuses qui conduisent inévitablement à l’accident. Selon eux, nous devons nous attendre aux accidents nucléaires ; ceux-ci sont normaux. Ils soutiennent qu’une meilleure organisation humaine permettrait certes de réduire le risque d’accident, mais pas de l’évincer (Perrow, 1984, 2011 ; Sagan, 1993). De l’autre côté, les défenseurs de la théorie des organisations à haute fiabilité prétendent au contraire que, sous des conditions particulières, certaines entreprises, telles que les centrales nucléaires, présentent des spécificités organisationnelles à même d’expliquer leurs très hauts niveaux de fiabilité (Roberts (ed.), 1993).

9Ci-dessous, j’introduis plus avant la théorie des accidents normaux telle que défendue par Charles Perrow, et je présente les conditions sous lesquelles une organisation est considérée comme hautement fiable selon la théorie des organisations à haute fiabilité. Mon but sera ensuite de montrer que, même sous ces conditions, un groupe ne peut asseoir un contrôle épistémique optimal.

1.1. La théorie des accidents normaux

10Charles Perrow fait figure de proue de la théorie des accidents normaux. Pour lui, dans les technologies à haut risque, « quel que soit le niveau d’efficacité des appareils de sûreté conventionnels, il existe une forme d’accident qui est inévitable » (Perrow, 1984, p. 3). Des défaillances inévitables, qu’elles soient mécaniques ou humaines, peuvent apparaître à tout moment dans la conception, la fabrication du matériel ou les opérations. Elles peuvent également être provoquées par l’environnement dans lequel se trouve le système. Les accidents, dans les entreprises à haut risque, sont ainsi qualifiés de normaux. Ils ne sont pas qualifiés comme tels parce qu’ils sont fréquents. Au contraire, ils sont – fort heureusement – relativement rares. Mais ils sont normaux car inévitables. L’occurrence des accidents est une propriété inhérente aux technologies à haut risque. De la même façon, écrit Perrow, « il est normal pour nous de mourir, mais nous ne mourrons qu’une seule fois » (1984, p. 5).

11Selon lui, les systèmes à haut risque présentent communément deux propriétés bien particulières, difficiles à contourner, et qui favorisent la survenue de l’accident. D’une part, une interactivité complexe qui en complique le fonctionnement et les rend difficile à comprendre ; d’autre part, l’étroit couplage entre leurs composants empêche, en cas de situation accidentelle, un retour rapide à l’état normal de fonctionnement.

12Un système présente une interactivité complexe lorsque ses composants servent à plusieurs fonctions en même temps. Les interactions complexes sont définies par Perrow comme « celles de suites inhabituelles d’évènements, de suites imprévues et inattendues, ni évidentes ni immédiatement compréhensibles » (1984, p. 78). Elles s’opposent à ce qu’il appelle les interactions linéaires que l’on peut prévoir, comprendre et donc maîtriser. Pour illustrer ce point, il prend l’exemple d’un réacteur chimique (1984, p. 72). Il me semble plus pertinent de prendre ici comme exemple un réacteur nucléaire, à savoir le réacteur à eau pressurisée dont le processus de production de chaleur est similaire au réacteur chimique. Dans un réacteur à eau pressurisée, le générateur de vapeur assure deux fonctions en même temps. Il est utilisé non seulement pour absorber la chaleur dégagée par les réactions dans le cœur nucléaire, mais aussi pour produire la vapeur nécessaire à la rotation des turbines. En cas de panne du générateur, le cœur nucléaire peut surchauffer si l’excès de chaleur du circuit primaire n’est plus correctement absorbé. Dans ce cas, il existe un risque que le cœur atteigne le point critique de flux de chaleur. Si ce point est atteint, la destruction de la gaine du combustible est possible. Autrement dit, la première barrière de confinement peut se rompre, libérant ainsi de la matière combustible dans le cœur nucléaire. Par ailleurs, si le générateur de vapeur dysfonctionne, une autre complication peut subvenir. Le système secondaire est susceptible d’être trop froid pour engendrer suffisamment de vapeur. Le générateur de vapeur entretient une relation fonctionnelle avec deux composants, le cœur du réacteur et la turbine. S’il cesse d’être performant, ses deux fonctions, à savoir le refroidissement du réacteur et la production de vapeur, ne peuvent plus être assurées. Durant l’accident de Three Mile Island survenu en 1979 en Pennsylvanie, une panne des pompes principales d’alimentation en eau du circuit secondaire fut responsable du dysfonctionnement du générateur de vapeur. Une fois le réacteur mis à l’arrêt, celui-ci produisait continuellement de la chaleur par décroissance radioactive. Lorsque les pompes secondaires tombèrent également en panne, le cœur ne fut plus refroidi correctement. Sa température et sa pression augmentèrent. À cela sont venues s’ajouter de petites défaillances au niveau du système de sûreté. Ainsi, la soupape de décharge du pressuriseur du circuit primaire, ouverte automatiquement pour éviter une augmentation dramatique de la pression, n’a pas, par la suite, pu être refermée. Or, les voyants indiquèrent tout le contraire aux opérateurs. À partir de là, une succession d’évènements et d’interactions non attendus conduisit à la catastrophe que nous connaissons.

13Lorsque les composants d’un système sont étroitement couplés, une petite défaillance dans l’un des composants provoque rapidement une cascade de problèmes dans les autres composants. Par exemple, une hausse imprévue de la réactivité dans un cœur nucléaire a des répercutions directes et rapides sur les autres composants de la centrale avec lesquelles le cœur est en relation. Le retour du système à son état normal de fonctionnement est ainsi plus difficile. Par ailleurs, à cause de la propension qu’a une défaillance de se propager dans tout le système, l’opérateur ne peut prendre le temps d’intervenir ; il est constamment dans l’urgence de devoir résoudre les petites défaillances qui se manifestent. Enfin, un système présentant un fort couplage entre ses composants exige une fine manœuvrabilité. Ainsi, si l’opérateur veut baisser le niveau de réactivité du cœur, il peut, par exemple, incorporer de l’acide borique, solution neutrophage, dans le cœur. La quantité d’acide borique à verser doit être mesurée avec précision. Du fait de leur dépendance en temps et de leur sensibilité, de tels systèmes n’autorisent aucune improvisation en cas de problème.

14Suffirait-il donc de simplifier le système et d’éviter tout couplage étroit entre ses composants afin de le rendre plus sûr ? Outre les difficultés d’ordre technique qu’elle impliquerait (voir Perrow, 1984, p. 89), cette solution semblerait tout à fait contre-productive. En effet, à en croire Perrow, l’interactivité complexe et le couplage étroit des systèmes à haut risque contribuent précisément à augmenter leur efficacité. Ainsi, par exemple, la double fonction du générateur de vapeur garantit un meilleur rendement énergétique de la centrale nucléaire. Plus généralement, « les systèmes complexes sont plus efficaces […]. Il y a moins de marge, moins d’espace sous-utilisé, moins de tolérance à des réalisations de moindre qualité, et davantage de composants multi-fonctionnels. De ce point de vue, pour la conception et l’efficacité du matériel, la complexité est souhaitable » (1984, p. 88).

15À cause de leur interactivité complexe et du couplage étroit de leurs composants, les centrales nucléaires sont sujettes à l’accident. Ainsi Three Mile Island est considéré par Perrow comme un accident normal. Il écrit à ce sujet :

Peu importe l’efficacité des appareils de sûreté conventionnels, il y a une forme d’accident qui est inévitable. Ce n’est pas une bonne nouvelle pour les systèmes qui ont un fort potentiel catastrophique, tels que les centrales nucléaires, les systèmes d’armes nucléaires, la production d’ADN recombinant, ou même les bateaux transportant des cargaisons très toxiques ou explosives. Cela suggère, par exemple, que la probabilité de fusion d’une centrale nucléaire avec dispersion de matière radioactive dans l’atmosphère n’est pas égale à une chance sur un million d’années, mais plutôt une chance dans la prochaine décennie (Perrow, 1984, p. 4).

16Effroyable prophétie qui a justement gagné, ces dernières décennies, en crédibilité : à l’époque où Perrow écrivait, en 1984, seul l’accident de Three Mile Island (28 mars 1979) avait officiellement conduit à une fusion du cœur. Depuis, deux accidents nucléaires de même type l’ont succédé : Tchernobyl (26 avril 1986 ; sept ans après Three Mile Island) et Fukushima Daiichi (11 mars 2011 ; vingt-cinq ans après Tchernobyl).

17L’analyse de Perrow est juste, et je partage sa conclusion selon laquelle les centrales nucléaires sont sujettes aux accidents du fait de leur complexité. En outre, je pense que celui-ci a raison d’affirmer que les centrales sont bien trop complexes pour qu’on puisse anticiper, analyser et faire face à un accident de la meilleure façon qui soit. Comme je le montrerai dans la dernière section, la division du travail et la distribution des savoirs, requises du fait de cette complexité, sont également des facteurs aggravants de risque en ce qu’elles nuisent au contrôle épistémique de la machine.

18Néanmoins, il est important de considérer les quatre améliorations de type organisationnel que la théorie des organisations à haute fiabilité propose d’introduire pour élever le niveau de sûreté. Alors que ces améliorations semblent en principe justifiées, je montrerai immédiatement après les avoir présentées que, dans la pratique, elles ne permettent pas toujours d’élever ce niveau jusqu’à une haute fiabilité.

1.2. La théorie des organisations à haute fiabilité

19La théorie des organisations à haute fiabilité repose sur une inférence inverse à celle des théoriciens des accidents normaux. L’inférence est faite à partir du constat suivant : les catastrophes sont peu fréquentes. Pour les uns, c’est déjà trop. Le fait qu’elles puissent survenir est le signe de leur normalité. Pour les autres, la faible fréquence de leur apparition prouve l’exceptionnelle organisation qui se trouve derrière les technologies à haut risque.

20Parmi les théoriciens de la haute fiabilité, l’on compte trois groupes distincts de sociologues dont les hypothèses de travail diffèrent quelque peu (pour une présentation détaillée voir Sagan, 1993). Malgré leurs divergences méthodologiques, ils soutiennent tous que les dangers des technologies à haut risque pourraient être évités par des organisations humaines, à condition que celles-ci soient conçues et dirigées de façon appropriée. Selon Scott Sagan (qui n’est lui-même pas un défenseur de cette théorie), « l’hypothèse que partagent les théoriciens de la haute fiabilité n’est pas une croyance naïve dans la capacité des êtres humains à se comporter de façon parfaitement rationnelle ; il s’agit d’une croyance bien plus plausible selon laquelle les organisations, bien conçues et dirigées, peuvent compenser les faiblesses humaines bien connues et peuvent donc être plus rationnelles. Selon eux, les organisations sont des entités cognitives potentiellement plus rationnelles et plus efficaces que ne peuvent l’être les individus » (1993, p. 16). En outre, les théoriciens de la haute fiabilité pensent que les organisations peuvent éviter la dangerosité intrinsèque des entreprises à haut risque. Ils s’entendent pour identifier quatre facteurs censés améliorer la sûreté des technologies dangereuses. Ils sont listés par Sagan (1993) et je les reprends brièvement ici avant de les examiner par la suite.

21Premièrement, selon eux, la sûreté et la fiabilité doivent être considérées par les entités décisionnelles, à savoir les élites politiques et la direction de l’organisation humaine en question, comme des priorités de premier ordre. C’est seulement de cette manière que tous les moyens financiers nécessaires seront employés en premier lieu dans le but d’augmenter le niveau de sûreté de l’entreprise. En outre, en favorisant la sûreté et la fiabilité au-dessus de toute autre chose, les entités décisionnelles permettent d’envoyer un message clair à l’ensemble du personnel, créant ainsi un climat de confiance au sein du groupe.

22Deuxièmement, la redondance, qu’elle soit technique ou humaine, doit absolument être optimisée. La redondance est la multiplication des chaînes indépendantes de communication, de prise de décision et d’action. Un employé peut ainsi être amené à vérifier les tâches d’un collègue. La redondance sert donc, en principe, à pallier les éventuelles erreurs humaines. Car les humains sont des êtres cognitivement limités. Ils peuvent inexorablement commettre des fautes.

23Troisièmement, il faut réduire les erreurs individuelles en instaurant une politique de décentralisation de l’autorité décisionnelle, une culture de la fiabilité, et un entraînement continu du personnel. La décentralisation de l’autorité doit permettre aux individus les plus proches des problèmes concrets de répondre rapidement et correctement aux dangers. La culture de la fiabilité est instaurée dès lors que des règles et des procédures de sûreté bien précises sont enseignées à l’ensemble du personnel. Elle doit permettre aux employés, loin des centres de décision, d’agir conformément à ce qui est attendu d’eux par les autorités. Enfin, un entraînement continu, ponctué de formations sur le tas et de simulations de situation d’urgence, doit venir couper la routine des employés, propice au relâchement et à la négligence. Cet entraînement a pour but de les mettre dans une situation inhabituelle, leur apprenant ainsi à rester réactifs et opérationnels face aux situations imprévues.

24Quatrièmement, l’organisation doit faire preuve d’une grande capacité d’apprentissage, en sachant comment ajuster rapidement les procédures à suivre en cas de problème. Un apprentissage par essais et erreurs doit, par exemple, permettre au groupe de retenir les opérations les plus efficaces et d’abandonner les moins performantes. Ce processus d’essais et d’erreurs s’effectue expérimentalement (par exemple, par des exercices de crise) ou par un travail de simulation et d’imagination.

25Les théoriciens de la haute fiabilité ont certes raison d’insister sur le fait que des améliorations organisationnelles doivent être réalisées afin d’augmenter le niveau de sûreté, mais celles qu’ils proposent ne suffisent pas à éliminer le risque d’accident. Les théoriciens des accidents normaux ont développé certaines critiques vis-à-vis de ces quatre propositions d’amélioration (voir Sagan, 1993, p. 36-43 pour un résumé de leurs arguments). Dans ce qui suit, je souhaite en présenter d’autres qui portent plus particulièrement sur le contrôle épistémique de la machine. Pour ce faire, je montre que certaines des propositions d’amélioration sont insatisfaisantes lorsqu’on les applique à l’organisation des ingénieurs chargés de la conception des centrales nucléaires et des études d’accidents. Ces propositions ont certes principalement été pensées pour les groupes dédiés à l’exploitation des centrales, mais elles devraient s’appliquer également aux groupes consacrés à leur conception. En effet, la sûreté doit être assurée, à travers une bonne organisation, non seulement sur le terrain où les dangers peuvent se manifester, mais aussi dans les bureaux d’étude, où les efforts de prédiction et de prévention sont faits avant même que les accidents aient lieu.

2. Imperfection épistémique au sein des organisations à haute fiabilité

26Un groupe assoit un contrôle épistémique optimal sur la machine s’il produit des informations fiables sur elle, ainsi que des prédictions correctes sur ses comportements possibles, mais également s’il en a une compréhension entière, allant de la connaissance de son fonctionnement global à ses détails les plus pertinents. Selon un critère idéaliste d’optimalité, grâce à la fiabilité des informations qu’il produit et de sa compréhension, le groupe doit être capable d’empêcher toute erreur individuelle de se propager. Cependant, ce critère est souvent trop fort dans la mesure où de nombreuses erreurs ne remettent pas en cause la fiabilité des informations et des prédictions produites. Selon un critère théorique plus approprié, le groupe doit donc savoir déceler toute erreur qui influe significativement sur les prédictions du groupe. Ce critère pose néanmoins une difficulté. L’impact d’une erreur sur les prédictions peut difficilement être évalué a priori. Néanmoins, ici, j’utilise ce critère d’optimalité. La notion de contrôle épistémique optimal fonctionne donc dans ce contexte comme un idéal dont on sait qu’il ne peut être atteint, mais qui joue quand même un rôle régulateur.

27Certaines améliorations organisationnelles, préconisées par la théorie des organisations à haute fiabilité, ne nous permettent pas de satisfaire ce critère. Plus précisément, comme je souhaite le montrer, il ne suffit pas de distribuer les tâches, de multiplier les contrôles, de décentraliser le pôle de décision, ou de créer une culture de fiabilité pour gagner en contrôle épistémique sur la machine nucléaire. Bien que ces pratiques semblent en principe être de véritables améliorations, certaines d’entre elles sont susceptibles, dans leur application, de provoquer une perte de contrôle épistémique. Comme nous allons le voir, elles sont susceptibles d’avoir, dans leur application, des effets indésirables. Certains de ces effets sont de type psychologique, mais ont néanmoins de réelles conséquences épistémiques. En outre, s’ajoutent à ces effets des contraintes économiques propres au caractère lucratif de l’industrie nucléaire.

28Avant d’aller plus loin, il me faut attirer l’attention du lecteur sur le point suivant. Les règles organisationnelles sont généralement documentées en interne dans les entreprises chargées de la conception, de la réalisation et de l’amélioration des centrales nucléaires, et ne sont donc pas rendues publiques. Néanmoins, en France, ces processus sont partiellement régulés par l’arrêté du 10 août 1984 (abrogé et remplacé par un nouvel arrête daté du 7 février 2012) relatif à la qualité de la conception, de la construction et de l’exploitation des installations nucléaires de base. L’on peut ainsi se figurer dans les grandes lignes le contenu de ces règles par une lecture de l’arrêté.

2.1. Les inévitables erreurs individuelles

29Les théoriciens de la haute fiabilité considèrent les organisations bien conçues et dirigées comme étant potentiellement plus rationnelles que les individus (Sagan, 1993, p. 16). Par conséquent, pour eux, le collectif doit pouvoir couvrir les éventuelles erreurs individuelles. À première vue, cela paraît juste. La division du travail, la spécialisation des travailleurs et la vérification systématique des études semblent, en effet, aller dans ce sens.

30Ainsi, par exemple, la division du travail s’impose comme le meilleur choix d’organisation. Il semble, en effet, préférable de subdiviser le travail en différentes tâches et attribuer chacune d’elles à la personne jugée la plus compétente plutôt que de les faire exécuter par tout un groupe d’individus. Par ailleurs, l’on attend de la vérification d’une étude, effectuée par une personne différente de son auteur, qu’elle augmente les chances d’éliminer les erreurs résiduelles de jugement ou de calcul. En effet, si deux personnes, chacune de leur côté, effectuent un même raisonnement, il y devrait y avoir une faible probabilité qu’elles commettent exactement la même erreur de jugement. Par ailleurs, en principe, un vérificateur est attentif à l’erreur éventuelle. En position de traque, il a de bonnes chances de la trouver.

31Cependant, dans le contexte de l’industrie nucléaire civile, la division du travail, la spécialisation des travailleurs et la vérification systématique des études présentent des effets rétroactifs sur l’individu qui le poussent à la faute.

32Tout d’abord, dans les bureaux d’étude, les tâches assignées aux ingénieurs – neutroniciens, thermohydrauliciens, métallurgistes ou encore mécaniciens – doivent nécessairement être précises et procédurales, et sont ainsi susceptibles d’être répétitives ; les méthodes de calcul sont, par exemple, imposées dans les études d’accident. Même si ces tâches requièrent un haut degré de qualification, leur caractère répétitif pourrait affaiblir l’attention que l’individu a pour son travail, et éventuellement l’amener à l’erreur.

33Par ailleurs, afin de détecter de possibles erreurs individuelles, les règles organisationnelles exigent que chaque étude soit opérée, surveillée, vérifiée, puis avalisée par quatre agents distincts, à savoir l’auteur, le référent technique, le vérificateur et le responsable hiérarchique. Les règles répondent donc à la recherche de redondance, de décentralisation de l’autorité décisionnelle, de la culture de fiabilité. Cependant, une telle organisation, dans sa réalisation, peut produire deux effets pervers : d’une part, une tendance à minimiser la responsabilité de chaque individu dans le groupe, et, d’autre part, une tendance à augmenter la confiance que chacun place dans la compétence des autres membres du collectif.

34En outre, l’industrie du nucléaire est une activité économique, et certains aspects relationnels entre les membres du groupe sont de fait conditionnés par celle-ci. En effet, dans une entreprise, l’individu est catégorisé en fonction de son grade hiérarchique. Or, plus son grade est haut, plus on peut s’attendre à ce qu’il reçoive davantage de crédit aux yeux des autres membres du groupe. Nous pouvons donc nous attendre à observer le phénomène d’injustice épistémique que décrit la philosophe Miranda Fricker dans son travail (1998), à savoir que les individus accordent du crédit aux puissants, et donc pas forcément aux meilleurs (plus généralement, sur les risques épistémologiques liés à la confiance en l’autre, voir par exemple Hardwig 1991, 1985 ; Turner 1993). Ainsi, dans un bureau d’études, les puissants sont souvent les supérieurs hiérarchiques, ou bien les employés dont la confiance en eux-mêmes produit une autorité de fait. Les meilleurs, quant à eux, sont les employés dont la compétence est susceptible d’apporter des solutions fiables et efficaces aux problèmes techniques qui leur sont posés. Aussi n’est-il sans doute pas toujours aisé d’identifier les informateurs les plus fiables. Un grand nombre de variables personnelles peuvent nous influencer ; non seulement le grade hiérarchique mais aussi, par exemple, l’âge des collègues qui n’est pas nécessairement proportionnel à leur compétence.

35À cause du contexte économique dans lequel ils travaillent, les employés sont également susceptibles d’accorder davantage leur confiance à leurs collègues lorsqu’ils ne trouvent pas le temps de délibérer par eux-mêmes. Des contraintes budgétaires demeurent en effet, qui concernent les auteurs des études, mais également les vérificateurs et les référents techniques, et qui contraignent leur travail dans le temps. De même, on peut aisément s’imaginer que les supérieurs hiérarchiques ont peu de temps pour avaliser une étude réalisée et apposer leur signature, et sont obligés de se fier à leur jugement rapide qui ne peut concerner seulement la qualité du document qu’on lui présente. Cette confiance rapide, et parfois biaisée, des employés en leurs collègues ne favorise pas la chasse à l’erreur.

2.2. Le cloisonnement scientifique des individus

36Non seulement la division du travail, la spécialisation des travailleurs et la vérification systématique des études ne permettent pas d’éviter les erreurs individuelles – évitement préalable à un bon contrôle épistémique – mais elles entravent tout contrôle épistémique optimal.

37Le contrôle épistémique optimal ne peut pas être satisfait, d’une part, parce que les individus sont parfois trop isolés dans leur travail hautement spécialisé. Comme le fait remarquer Perrow (1984, p. 87), la spécificité de leur tâche, inhérente à la complexité de la machine, a pour conséquence de les priver d’une compréhension globale du système. En outre, le manque d’interaction intellectuelle entre les individus empêche la dynamique nécessaire à un contrôle épistémique optimal de la machine. La distribution des tâches diminue, en effet, la possibilité d’interaction entre les individus de fonction et de spécialité différentes. Il est rare que les individus aient le temps de s’intéresser aux tâches des autres, celles qu’on ne leur a pas assignées.

38De plus, comme ils sont soumis à des contraintes budgétaires, les agents ne peuvent pas toujours trouver le temps de combler leurs lacunes dans les domaines techniques adjacents au leur. Or, s’il y a, par exemple, un manque d’interaction entre les ingénieurs d’études accidentelles et les développeurs des codes de calculs numériques nécessaires aux études, il peut en résulter une mauvaise utilisation de ces codes. Les erreurs peuvent apparaître dans les études, et, à cause de la confiance fluctuante entre travailleurs mentionnée plus haut, elles peuvent échapper au contrôle des vérificateurs. Le problème majeur d’une telle organisation collaborative est que tout le monde pense que, s’il ne sait pas quelque chose, quelqu’un d’autre dans l’entreprise doit détenir l’information à coup sûr.

39Prenons l’exemple de commandes faites entre deux équipes de discipline différente, deux communautés épistémiques distinctes. Les ingénieurs en thermohydraulique ont besoin parfois de données neutroniques pour leurs propres études. Ils peuvent, par exemple, avoir besoin de la réactivité nucléaire dans le cœur pour effectuer des calculs de flux critiques. L’ingénieur en neutronique, qui doit fournir de telles données, a souvent moins de connaissance en thermohydraulique, et doit donc se fier à ses interlocuteurs, les ingénieurs en thermohydraulique. Il ne vérifiera pas à leur place si la question que ces collègues se posent est cohérente, ou justifiée, ou si les données d’entrée qu’il a reçues sont plausibles.

2.3. La non-conservation du savoir-faire accumulé

40Le contrôle épistémique optimal est également compromis parce que rien ne semble assurer la conservation du savoir-faire accumulé. Ce savoir-faire comprend non seulement l’ensemble des connaissances nécessaires à l’accomplissement des études d’accident et de dimensionnement, mais aussi l’ensemble des connaissances qui ont trait à l’histoire d’une centrale nucléaire en particulier (comme, par exemple, les choix technologiques à la base de sa construction). Pour suivre la vie d’une centrale, il faut souvent revenir à des études techniques passées. Les règles organisationnelles exigent ainsi que, pour chaque étude, un dossier d’étude soit créé et conservé, qui retrace le déroulement de l’étude et des choix effectués. Elles répondent en ce sens à l’article 2.5.6 de l’arrêté :

Les activités importantes pour la protection, leurs contrôles techniques, les actions de vérification et d’évaluation font l’objet d’une documentation et d’une traçabilité permettant de démontrer a priori et de vérifier a posteriori le respect des exigences définies. Les documents et enregistrements correspondants sont tenus à jour, aisément accessibles et lisibles, protégés, conservés dans de bonnes conditions, et archivés pendant une durée appropriée et justifiée.

41Cependant, les dossiers d’étude peuvent manquer de clarté, d’exhaustivité, voire être égarés. Dans ces cas-là, il est parfois nécessaire de contacter directement l’auteur du dossier, mais encore faut-il que ce dernier soit accessible. En effet, si une centrale a une durée de vie de trente à quarante ans, une carrière professionnelle dans une même fonction et un même établissement est souvent beaucoup plus courte. Par ailleurs, les gens communiquent souvent oralement, et par téléphone. Or, de telles communications ne sont pas sauvegardées, et ne sont pas systématiquement mentionnées par l’auteur dans le dossier d’étude.

42Ce manque de continuité des études peut être aggravé par un manque de transmission : dans un contexte économique, il apparaît que les individus n’ont souvent pas le temps d’apprendre les uns des autres. C’est un aspect, me semble-t-il, qu’il ne faut pas sous-estimer. Il peut arriver qu’une crise du secteur nucléaire ait lieu à tout moment. Ce fut notamment le cas dans les années 90 en France. L’industrie nucléaire n’a, à cette époque, pas embauché suffisamment. Elle a également pratiqué parfois une politique de mise en retraite anticipée de ses cadres. Aussi, la pyramide des âges du personnel atteste aujourd’hui d’un certain vieillissement. Il y a quelques années, l’industrie du nucléaire a repris de plus belle et a recruté en masse de jeunes ingénieurs fraîchement diplômés. Ces nouveaux venus sont, par définition, inexpérimentés. Cependant, la question se pose – et je la laisserai ouverte : comment former ces jeunes recrues lorsque le personnel le plus expérimenté part bientôt à la retraite ?

43Par ailleurs, un problème d’archivage s’impose. À cause d’un manque compréhensible d’espace informatique, un grand nombre de données et d’études ne peuvent pas être conservées proprement, ou sont difficiles d’accès. Cela peut aboutir à une perte de « mémoire collective » en ce que le groupe ne dispose plus des informations accumulées avec le temps. Or, selon l’article 2.1.1 de l’arrêté, il est requis que :

L’exploitant détien[ne], en interne, dans ses filiales, ou dans des sociétés dont il a le contrôle […], les compétences techniques pour comprendre et s’approprier de manière pérenne les fondements de ces activités.

44Les théoriciens de la haute fiabilité ont raison : il est envisageable, et même grandement souhaitable, d’effectuer des améliorations de type organisationnel afin qu’un meilleur contrôle de la part du groupe soit possible. Cependant, trois difficultés d’ordre épistémique subsistent qui empêchent un collectif d’atteindre un contrôle épistémique optimal sur la machine nucléaire. Ces trois difficultés sont les erreurs individuelles inévitables, le cloisonnement scientifique des individus et la non-conservation du savoir-faire accumulé dans le temps. Je souhaite maintenant montrer qu’à l’origine de ces trois difficultés se trouvent la division du travail et la répartition du savoir, lesquelles sont par là même responsables de l’imperfection épistémique du groupe.

3. La Tour de Babel

45À première vue, la division du travail et la répartition du savoir sont compatibles avec la recherche de contrôle épistémique optimal. La division du travail est absolument incontournable dans l’exploitation de technologies complexes, qui requiert des compétences diverses et un haut niveau de spécialisation de la part des employés. La division du travail permet de gagner en temps de formation et en temps de travail. Il est beaucoup plus long pour un unique individu de développer des compétences multiples que pour plusieurs individus de se spécialiser dans une seule de ces compétences. Par ailleurs, un unique individu mettra beaucoup plus de temps à réaliser trente tâches intellectuelles que trente individus dédiés à une seule opération.

46Cependant, la division du travail et la répartition du savoir sont à la base de l’éclatement de la connaissance et de la compréhension systémique de la machine au sein du groupe. Ainsi sommes-nous en droit de nous demander si, dans une certaine mesure, l’industrie du nucléaire civil n’est pas une réelle Tour de Babel. Au sein d’un groupe, chaque membre a reçu une formation particulière et a développé des compétences scientifiques spécifiques. Chaque membre détient des connaissances précises sur une partie de la machine, mais pas sur son ensemble. Il ne peut donc avoir une pleine et entière compréhension de la centrale. Les opérateurs peuvent certes prétendre à une certaine compréhension du fonctionnement de la machine car ils la manipulent effectivement, ils connaissent les rôles fonctionnels de ses parties et les effets de leurs opérations sur elles (voir Dretske 1994). Mais cette compréhension, gagnée avec la manipulation de la machine, ne semble pas suffisante pour répondre à toutes les questions de type « que se passerait-il si les choses avaient été différentes ? ». En outre, ni un ingénieur concepteur (encore faudrait-il préciser lequel : l’ingénieur en thermohydraulique ? en neutronique ?), ni le constructeur ne peuvent évidemment détenir la pleine compréhension de la machine, de sorte qu’ils anticipent toute défaillance ou accident.

47Chaque membre détient une connaissance uniquement partielle de la centrale nucléaire. Ainsi, la seule unité cognitive qui puisse se porter candidat à une pleine connaissance ne peut être que le groupe lui-même. Le groupe doit alors être considéré comme une cognition distribuée dans la mesure où sa mémoire et son savoir sont éclatés et partagés par l’ensemble de ses membres (en sciences cognitives, la notion de cognition distribuée est étudiée, par exemple, dans Hutchins, 1995 ; Clark, 1997). Cependant, les connaissances du groupe n’excèdent pas la somme des savoirs de ses membres. Nous ne pouvons pas même dire que le groupe comprend davantage le fonctionnement de la machine dans son entièreté qu’un seul de ses membres. En effet, comment pourrait-il prévoir toute défaillance ou accident ?

48Pour que cela soit possible, il faudrait que le groupe soit plus rationnel que ses membres. Cependant, à cause, notamment, de la confiance que les membres d’une même équipe se font mutuellement, il semble difficile d’éliminer les erreurs individuelles. En outre, ses parties doivent être pérennes, afin que sa mémoire « collective » soit conservée. En d’autres termes, sa connaissance doit être conservée et facilement accessible à tout moment. Or, rien ne semble garantir la conservation du savoir-faire accumulé : à cause des problèmes de traçabilité (qualité des fichiers techniques, problème de stockage) ; à cause de la différence d’échelles entre la longueur des carrières et la durée de vie d’une centrale nucléaire ; enfin, du fait que les parties du groupe sont des agents mortels, qui tombent malades, prennent des vacances, sont licenciés, donnent leur démission, partent à la retraite ou meurent. Par ailleurs, la connaissance doit être mobilisable à tout moment et rapidement. Or, si les membres du groupe n’interagissent pas suffisamment entre eux, il ne peut y avoir recouvrement des compétences et du savoir. Chaque membre devient par conséquent indispensable pour la survie du tout et cette situation n’est pas souhaitable.

49En outre, face au risque nucléaire, le groupe ne doit pas seulement anticiper toute défaillance, il doit également offrir un unique pronostic en cas de problème, et ce dans un délai suffisant. Il doit parler d’une seule voix pour indiquer les actions à suivre en cas d’urgence. Or, cela n’est possible que s’il existe un chef d’orchestre qui donne les instructions et les directions au groupe entier. Ce chef d’orchestre ne peut être un individu. Il ne peut donc s’agir que du groupe lui-même. Mais celui-ci se trouve dans la difficulté d’émettre ses décisions comme je souhaite le montrer.

50Si chaque membre a sa propre opinion, il y aura une divergence dans les directions du groupe : en un mot, le « chaos ». Et la centrale nucléaire deviendra pareille à une Tour de Babel. Les décisions doivent donc apparaître comme des résultats uniques du travail du groupe entier. Afin que le groupe les divulgue à l’unisson, l’un de ses membres au moins, pas nécessairement le même à chaque fois, doit pouvoir les exprimer explicitement de telle sorte que ces décisions soient rendues publiques et permettent au groupe d’agir. Ainsi, la contrainte d’une « voix finale unique » est absolument indispensable à la bonne conduite du groupe. Elle impose qu’un individu qui est à la fin d’une longue chaîne d’informateurs (ingénieurs, constructeurs, concepteurs, experts, etc.) puisse exprimer les décisions du groupe. Ce dernier « lien » de la chaîne informationnelle doit avoir assez d’informations pour les formuler. Il doit, pour ce faire, posséder au moins la stricte quantité d’information requise pour l’exprimer.

51La contrainte d’une « voix finale unique » ne peut cependant pas être satisfaite en pratique. La complexité inhérente des centrales exige de la part de ses employés un haut niveau de spécialisation. Ainsi, ces derniers comprennent seulement une partie de la grosse machine à travers leur propre perspective, leur spécialité. Par ailleurs, il est difficile de dire si une connaissance approximative de la machine est suffisante pour anticiper ses possibles failles. La plupart des gens savent à peu près comment marche une centrale nucléaire mais, dans la majorité des cas, ils n’ont pas la connaissance de tous les détails requis pour prédire les failles. Ces détails sont précisément difficiles à identifier par une organisation sociale. Un exemple de détail manquant, dans le cas de la centrale de Fukushima Daiichi, est la hauteur des digues. S’il y avait eu un contrôle épistémique optimal de la centrale, le groupe d’ingénieurs en charge de sa conception aurait pu penser que celle-ci, construite sur un front de mer, pouvait être exposée au séisme et au risque de tsunami. Il aurait pu ainsi modifier la hauteur des digues et protéger les générateurs diesel de la noyade.

Conclusion

52Même la production d’une simple bicyclette requiert une grande diversité de connaissances spécialisées. Comme le souligne André Gorz (1989, p. 55), dans une usine de bicyclettes, chaque travailleur possède une fraction précise de la connaissance requise pour créer un vélo, mais aucun d’eux n’est en position de s’approprier le processus entier de production. Évidemment, le même constat peut être fait pour la conception et les étapes de construction plus complexes d’une centrale nucléaire. Cependant, une bicyclette n’implique pas les mêmes risques environnementaux qu’une centrale nucléaire, et la question de savoir si la division du travail et la répartition du savoir sont compatibles avec la condition de sûreté de l’industrie du nucléaire civil mérite d’être posée.

53La division du travail et la répartition du savoir entravent la recherche de contrôle épistémique optimal sur la machine. Puisqu’un tel contrôle constitue un idéal qu’on ne peut espérer atteindre, alors l’enjeu est d’en minimiser l’écart. Il est ainsi possible, et grandement souhaitable, d’effectuer des améliorations de type organisationnel afin que le groupe ait un meilleur contrôle et agisse plus efficacement contre le risque nucléaire. Les précautions recommandées par la théorie des organisations à haute fiabilité devraient donc être sérieusement prises en considération, et révisées lorsqu’elles posent les difficultés épistémiques que j’ai suggérées. Ainsi, par exemple, les politiques des ressources humaines pourraient être améliorées en revalorisant le travail technique et l’expérience professionnelle afin d’encourager les ingénieurs à poursuive leur carrière, en organisant des sessions de travail avec pour but explicite de promouvoir la transmission des connaissances entre jeunes employés et seniors, et en réduisant la charge de travail des ingénieurs parfois sollicités pour réaliser de nombreuses tâches en même temps.

54Cependant, malgré ces mesures, personne ne peut posséder une compréhension, suffisamment entière et profonde, du fonctionnement d’une centrale nucléaire pour faire barrage à tout accident : ni les ingénieurs concepteurs en R & D, ni les opérateurs des centrales. L’expert américain ou l’expert français, invités pour faire un diagnostic à Fukushima, ne possèdent pas non plus la pleine connaissance de la centrale, puisqu’ils sont précisément reconnus pour être les spécialistes d’un domaine technique particulier. Si personne ne sait comment une centrale marche dans son entier, cela constitue un facteur de risque à part entière ; vivre avec ce facteur de risque devrait être un choix de société. Lorsque la conception et l’exploitation d’une machine requièrent un grand nombre de connaissances et de compétences spécialisées, elle peut s’apparenter à une Tour de Babel.