À Fukushima, la suspension de l'injection a été annoncée. Elle n'a jamais eu lieu.
19 h 04. L'injection d'eau de mer démarre dans le réacteur 1 de Fukushima Daiichi.
19 h 25. Le directeur de site annonce sa suspension. Il ordonne en réalité de continuer.
Vingt minutes. C'est tout ce qui sépare le moment où le refroidissement a repris du moment où un cadre, depuis le cabinet du Premier ministre à Tokyo, a voulu l'arrêter.
La commission d'enquête de la Diète japonaise conclut que l'injection ne fut jamais interrompue.
Le décor, avant la chronologie
Le 11 mars 2011, un séisme et un tsunami coupent l'électricité de la centrale. Les systèmes de refroidissement s'arrêtent. Dans le réacteur 1, la pression monte dans l'enceinte de confinement, cette double paroi qui retient les matières radioactives.
Il faut faire deux choses, et elles sont liées.
Éviter que l'enceinte ne cède sous la vapeur. C'est le rôle de l'éventage : ouvrir volontairement une vanne pour relâcher des gaz. On accepte de rejeter de la radioactivité pour éviter que tout parte d'un coup.
Injecter de l'eau pour refroidir le cœur. L'exploitant, TEPCO, n'a plus que des moyens de secours, dont des pompes à incendie. Or une pompe basse pression ne peut rien envoyer dans un réacteur encore sous haute pression. Il faut d'abord ouvrir les soupapes de décharge pour faire baisser la pression du cœur.
Ces soupapes s'ouvrent électriquement. Le courant continu a été noyé par le tsunami.
La chaîne est donc simple, et chaque maillon peut casser : dépressuriser, injecter, éventer. À 01 h 30, la pression de l'enceinte est relevée à 600 kPa et les préparatifs d'éventage commencent.
Un réacteur sans eau, c'est un combustible qui chauffe, des gaines métalliques qui se dégradent au contact de la vapeur, de l'hydrogène qui s'accumule, puis un cœur qui fond. L'eau est la seule chose qui empêche cette suite.
La journée du 12 mars 2011
14 h 54. Le directeur de site, Masao Yoshida, ordonne l'injection d'eau de mer dans le réacteur 1.
15 h 20. TEPCO prévient par fax l'autorité de sûreté : la centrale va injecter de l'eau de mer.
15 h 36. Une explosion d'hydrogène détruit le bâtiment du réacteur 1. Elle endommage les tuyaux posés et les installations électriques nécessaires à l'injection.
Cet hydrogène ne vient pas de nulle part. Il vient du combustible qui se dégrade déjà. À 15 h 36, le cœur n'est plus intact.
17 h 55. Au cabinet du Premier ministre, le ministre de l'Économie ordonne l'injection d'eau de mer.
19 h 04. Les préparatifs sont refaits. L'injection d'eau de mer commence enfin, quatre heures après la première tentative.
19 h 15. TEPCO prévient l'autorité de sûreté que l'injection a commencé.
19 h 25. Un cadre de TEPCO détaché au cabinet du Premier ministre apprend par téléphone que l'injection a démarré. Il ordonne au directeur de site de la suspendre provisoirement.
Le directeur de site annonce alors la suspension dans une visioconférence avec le cabinet. Puis il donne l'ordre de continuer.
19 h 55. Le Premier ministre donne son accord à l'injection d'eau de mer.
20 h 20. Le directeur de site donne l'ordre officiel de reprendre l'injection.
Ce que la commission écrit
Deux phrases suffisent à comprendre la scène.
Sur l'instruction : elle vient de ce cadre, qui l'a prise de sa propre autorité. La commission précise : « non sur instruction du Premier ministre ou du cabinet ». Il estimait, écrit-elle, « important d'avancer après avoir obtenu la compréhension du Premier ministre, commandant en chef ».
Sur l'effet : le directeur de site était convaincu qu'il ne pouvait pas suspendre une injection qui venait enfin de commencer. La commission écrit qu'il « fit semblant de se conformer à l'instruction pendant la visioconférence, mais utilisa son propre jugement et décida de poursuivre ». Elle en tire cette conclusion : « ainsi, l'injection d'eau de mer ne fut jamais suspendue ».
Le retournement
On attend d'une catastrophe qu'elle raconte l'obéissance. Un chef ordonne, des exécutants cèdent. Ici, personne n'obéit et personne n'ordonne vraiment.
Le cadre qui demande la suspension n'a reçu aucun ordre. Il anticipe. Il imagine ce que le pouvoir voudra, il juge qu'il faut d'abord obtenir sa compréhension, et il transforme cette anticipation en consigne. Le biais d'autorité ne se joue pas au moment où l'autorité parle. Il se joue avant, chez celui qui se met à sa place.
Le directeur de site ne cède pas non plus. Il annonce une chose et il en fait une autre, parce qu'il estime que l'opération ne peut pas attendre.
L'opération est sauve et le pire est évité. Grâce au jugement d'un homme qui a refusé d'appliquer une consigne, pas grâce à la consigne.
Ce que cet ordre aurait pu coûter
À 19 h 25, l'eau de mer est ce qui reste pour refroidir le cœur. Elle vient de repartir, après une explosion qui a détruit les tuyaux de la première tentative.
L'ordre arrive d'un homme qui n'est pas à la centrale. Il ne voit aucun instrument. Il ne sait pas si l'injection est encore possible, ni à quelle vitesse la situation se dégrade. Il ne sait pas que le combustible est déjà attaqué. Il ordonne quand même.
Si le directeur de site avait obéi, l'eau s'arrêtait vingt minutes après avoir commencé. Un cœur déjà entamé repartait sans refroidissement, dans une enceinte sous pression depuis la nuit. Personne, à cet instant, ne connaissait la marge restante.
C'est là que se situe l'erreur, et elle n'est pas dans l'intention. Le siège veut arbitrer une décision qui dépend de l'état d'une machine qu'il ne voit pas. Il n'a ni la mesure, ni le contexte, ni la main sur les vannes. Il a une relation à préserver avec le pouvoir politique, et il la place au-dessus de l'état du réacteur.
Le résultat aurait pu être pire que le désaccord qu'il cherchait à éviter.
La même scène, dans une salle de crise informatique
Vingt-deux heures. Un service de paiement répond mal depuis vingt minutes. L'équipe technique a identifié la cause et tient la décision : un redémarrage du service, trois minutes de coupure, retour en état.
Le responsable de permanence entre dans la salle. Il connaît mal l'architecture et il n'a pas suivi l'incident depuis le début. Il ne dit pas non. Il pose une question :
« Est-ce que la direction est au courant ? »
Personne ne le sait. Et surtout, personne n'a demandé cet accord. Aucune règle n'exige d'informer la direction pour un redémarrage de service. Mais la question vient de quelqu'un dont l'avis compte, et elle transforme en quelques secondes une décision technique en décision hiérarchique.
La salle annonce qu'elle attend. L'horloge tourne. À 22 h 40, l'équipe redémarre sans nouvel accord, parce que le service ne peut pas attendre plus longtemps.
Dix-huit minutes perdues. Sur un incident qui se compte en minutes, c'est la moitié du temps utile qui part dans une attente que personne n'avait exigée.
Le problème n'est pas que le responsable soit incompétent. Il a posé une question légitime. Le problème est que la salle a traité une question de légitimité comme une condition technique, et qu'elle a attendu un accord que personne n'avait à donner.
Trois gestes qui changent la scène
Séparer la question de légitimité de la question technique. « Est-ce que la direction est au courant » n'est pas « est-ce que c'est sûr ». La première se traite en parallèle, par un message. La seconde suspend l'action. Confondre les deux coûte les minutes qu'on n'a pas.
Nommer qui a le droit de suspendre, et le choisir pour ce qu'il voit. Une seule personne devrait pouvoir dire « on arrête ». Ce doit être celle qui a l'opération sous les yeux et qui en porte la responsabilité. Pas celle qui a le titre, ni celle qui est dans la bonne réunion.
Ne pas arbitrer ce qu'on ne peut pas voir. Une décision qui dépend de l'état d'une machine ne se prend pas depuis une salle où personne ne voit cette machine. Si le siège doit trancher, il doit avoir l'état de la machine sous les yeux, et être capable de lire le monitoring, les données et le contexte technique. Sinon il ne tranche pas, il ajoute une contrainte.
Un quatrième point concerne le management. Quand une équipe commence à faire semblant d'obéir, ce n'est pas la discipline qui est en cause, c'est la règle. Une consigne qu'on ne peut pas exécuter sans détruire l'opération est une consigne mal placée, et c'est à celui qui la donne de le savoir.
Le pilote décide
Un manager peut questionner, challenger, demander des preuves. C'est son rôle, et une objection posée à temps peut sauver une opération.
Mais questionner n'est pas décider.
La décision appartient à celui qui a les mains sur le clavier. Celui qui voit l'état de la machine et qui connaît le contexte. Celui qui sait ce qu'une minute de plus ou de moins change, et qui portera les conséquences de ce qu'il fait.
Les autres éclairent. Ils ne tranchent pas. Et quand ils tranchent quand même, ils tranchent à l'aveugle, sur une machine qu'ils ne voient pas.
Lecture des sources
TEPCO, dans son propre rapport, écrit qu'une suspension temporaire a été décidée. La commission de la Diète écrit l'inverse. Cet article retient la version de la commission, qui est la plus précise sur les ordres réellement passés.
Le récit du côté gouvernemental n'est pas confronté ici : la commission s'appuie sur des dépositions dont certaines sont des extraits choisis.
Rien n'établit ce qui se serait passé si le directeur de site avait obéi. L'article ne le prétend pas. Il dit seulement que l'eau de mer était ce qui restait pour refroidir le cœur, et que l'ordre venait de quelqu'un qui ne pouvait pas le savoir.
Sources
- Commission d'enquête indépendante de la Diète du Japon, rapport officiel, chapitre 3, juillet 2012. https://web.archive.org/web/20121020010735id_/http://naiic.go.jp/wp-content/uploads/2012/08/NAIIC_Eng_Chapter3_web.pdf
- TEPCO, Fukushima Nuclear Accidents Investigation Report, corps principal, annexes et résumé, 20 juin 2012, référence 120620e0103.
- Agence internationale de l'énergie atomique, The Fukushima Daiichi Accident, volume technique 1, annexe I, séquence de l'unité 1. https://www-pub.iaea.org/MTCD/Publications/PDF/SupplementaryMaterials/P1710/TV1/AnnexI.pdf