Construire un poste de commandement mobile

Un poste de commandement mobile est un véhicule qu'on envoie sur un incident pour y installer, en quelques minutes, une salle de coordination : une table où plusieurs services s'assoient ensemble, de quoi voir des images de vidéosurveillance en direct, du courant, du chauffage, un endroit où tenir plusieurs heures.

Dit comme ça, c'est simple. En pratique, tout le projet consiste à faire tenir cette phrase dans un véhicule de trois tonnes et demie — et chaque élément qu'on ajoute en retire un autre.

J'ai participé à la conception, à la spécification et à la mise en service d'un véhicule de ce type. Ce texte rassemble les arbitrages qui ont été faits, ceux qui se sont révélés justes, ceux qui étaient des erreurs, et ce que j'appliquerais différemment si je recommençais. Je l'écris parce que ce genre de projet est rare, que chacun le redécouvre seul, et que la plupart des difficultés rencontrées n'étaient pas techniques.

Mon rôle. J'ai eu la responsabilité complète de la partie informatique et télécom : définition du besoin, rédaction de la spécification, consultation et sélection des fournisseurs, intégration des équipements dans le véhicule, connectivité avec l'infrastructure existante, et mise en service du système. De la première ligne écrite jusqu'à l'exploitation, cette partie était de mon ressort.

Le véhicule lui-même était un projet collectif — aménagement, électricité, mécanique, exploitation. Les décisions que je rapporte sur l'énergie, la signalisation ou l'intendance ont été prises à plusieurs ; je les décris ici parce qu'elles éclairent la logique d'ensemble et parce qu'elles conditionnaient directement mon périmètre, pas parce qu'elles m'appartiennent.

L'équation de départ : 3,5 tonnes et tout le reste

La première contrainte n'est pas technique, elle est administrative, et elle plafonne tout le reste : le véhicule devait rester conduisible avec un permis B. Cela impose une masse maximale autorisée de 3 500 kg. Sur un fourgon long et rehaussé, il reste de l'ordre de 1 400 kg de charge utile — et c'est dans ces 1 400 kg qu'il faut loger l'aménagement complet, les batteries, le groupe électrogène, la climatisation, le mobilier, le sanitaire, l'informatique, les consommables et les occupants.

Cette exigence de permis mérite qu'on s'y arrête, parce qu'elle ne décrit pas un équipement : elle décrit qui pourra partir avec le véhicule. C'est l'une des rares contraintes vraiment fonctionnelles d'un projet comme celui-ci, et nous y sommes revenus à chaque décision importante.

La deuxième contrainte vient de l'usage. En gestion de crise, on ne coordonne pas « des gens » : on coordonne des services distincts, chacun avec son représentant, son autorité et ses propres moyens de liaison. L'objectif était donc simple à énoncer : une place assise par service intervenant — cinq dans notre cas — autour d'une même table.

À cela s'ajoutait la liste de ce qui rend un poste tenable dans la durée : micro-ondes, réfrigérateur, climatisation, deux écrans au poste opérateur, un grand écran de partage, une imprimante, un sanitaire. La totale.

Nous avons obtenu les cinq places, et la géométrie retenue mérite d'être décrite parce qu'elle n'est pas évidente : quatre places en vis-à-vis autour de la table, plus une cinquième latérale, le poste opérateur étant distinct.

        ┌─────────────────────────────────────────┐
  avant │  [1]   [2]          poste opérateur     │ arrière
        │   ╞═══╡ table                   ▓▓ ▓▓   │   cargo + sanitaire
        │  [3]   [4]                              │
        │                          [5] ◄ latérale │
        └─────────────────────────────────────────┘
        4 en vis-à-vis + 1 latérale, une par service intervenant

Le vis-à-vis n'est pas un détail d'aménagement : c'est la seule disposition qui permette à cinq personnes de se parler dans une largeur de fourgon. En rangée, on obtient des sièges ; en vis-à-vis, on obtient une réunion.

Ce que j'en retire. Dans un véhicule, la capacité d'accueil et l'habitabilité sont le même budget. Chaque équipement de confort — réfrigérateur, micro-ondes, climatisation — se paie en centimètres de plancher et en kilogrammes de charge utile. Tenir cinq places assises et tout l'équipement sous 3,5 tonnes est le vrai exploit d'un projet comme celui-ci, et c'est ce qui ne se voit sur aucune photo.

L'énergie, qui arbitre tout le reste

C'est la partie la plus intéressante du projet, celle dont les décisions ont le plus de conséquences en aval, et celle où nous sommes partis de zéro au sens strict.

La commande posait une seule exigence énergétique : 72 heures d'autonomie sans raccordement au réseau, en conditions d'utilisation intensives — climatisation, informatique, réfrigérateur — en nous laissant explicitement libres de la solution technique. C'est, sur le principe, la bonne façon d'écrire une exigence : on demande un résultat, on n'impose pas une architecture.

Il n'y avait rien d'autre. Pas d'ampère-heure, pas de kVA, pas de watt, pas de tension de parc, pas de technologie de batterie, pas de consommation horaire par poste. Et surtout, aucun protocole de recette : rien qui dise comment on vérifie 72 heures, avec quelle charge, dans quelles conditions. Une exigence de performance sans méthode de mesure n'est pas vérifiable, et celle-là ne l'a jamais été.

Le circuit additionnel et sa séparation

Le véhicule a deux mondes électriques. Celui d'origine, qui démarre le moteur. Et un circuit additionnel, totalement indépendant, qui alimente tout l'aménagement : un parc de batteries de servitude sous la banquette, protégé par un fusible de 500 A et isolé du circuit véhicule par un relais séparateur.

Le relais séparateur est sans doute la pièce la plus critique de l'installation, et c'est celle dont on parle le moins. Sa fonction est de rendre matériellement impossible le scénario qui tue une intervention : consommer la batterie de démarrage en travaillant, et ne plus pouvoir repartir. On peut vider l'installation de servitude jusqu'au bout ; le moteur démarrera quand même.

Le calibre de 500 A dit autre chose : on est sur un parc capable de débiter très fort, ce qu'exige un onduleur alimentant une climatisation et un micro-ondes en 230 V.

Trois sources de recharge, une seule règle

Prise 230 V extérieure  ──┐
Alternateur (moteur)    ──┼──►  chargeur  ──►  parc de servitude  ──►  installation
Groupe électrogène      ──┘                           │
                                                      └─ seuil d'alerte : 30 %

La recharge est automatique quelle que soit la source. La prise extérieure est une prise de type caravane, côté conducteur, avec un témoin lumineux qui indique que le raccordement est actif.

Elle embarque surtout une sécurité qui distingue un aménagement pensé d'un aménagement bricolé : un contact coupe le démarreur tant que le câble est branché. Le véhicule ne peut pas partir raccordé au secteur. C'est la réponse matérielle à un risque très réel — on part en urgence, on arrache le câble, on endommage la prise du bâtiment ou celle du véhicule, et on se retrouve sans alimentation extérieure sur le lieu d'intervention. Un rappel visuel n'aurait pas suffi : dans l'urgence, personne ne regarde.

Le réservoir unique : une décision, pas un défaut

Le groupe électrogène ne dispose pas de son propre réservoir. Il puise directement dans le réservoir de carburant du véhicule.

Vu de l'extérieur, cela ressemble à un couplage malheureux : rouler consomme l'autonomie électrique du poste de commandement. C'est exact. Mais c'était un choix délibéré, pour une raison que l'exploitation a confirmée : un réservoir séparé, c'est un réservoir que quelqu'un oublie de remplir.

Avec un groupe autonome, on ajoute un consommable de plus à la chaîne d'entretien : un bidon, une vérification, une responsabilité à assigner, un oubli possible. Et l'oubli se découvre au pire moment — sur place, la nuit, quand on lance le groupe et qu'il ne démarre pas. Avec un réservoir commun, il n'y a plus qu'une seule chose à surveiller, et c'est celle que tout conducteur surveille déjà.

Le raisonnement. Nous avons échangé une dépendance technique — l'autonomie électrique dépend du niveau de carburant — contre la suppression d'un mode de défaillance humain : personne ne remplit le bidon du groupe. Sur un moyen qui sert rarement et qui est manipulé par des équipes tournantes, le second risque est de très loin le plus probable.

La contrepartie devait être assumée et surtout énoncée : faire le plein ne veut plus dire la même chose. Un demi-réservoir n'est plus « assez pour rouler », c'est « pas assez pour tenir la nuit sur place ». Ce n'est pas intuitif, et c'est typiquement le genre de conséquence qu'une décision de conception impose à l'exploitation sans que personne ne s'en aperçoive — jusqu'au jour où ça manque.

Le groupe à bord, et pas sur une remorque

La deuxième décision d'architecture énergétique procède du même raisonnement, et elle a été prise contre une solution techniquement plus simple.

Mettre le groupe électrogène sur une remorque dédiée est une option classique : elle libère du volume et de la charge utile dans la cellule, elle éloigne le bruit et les vibrations du poste de travail, elle simplifie la maintenance et elle permet de dimensionner le groupe sans contrainte d'encombrement. Sur le papier, tout plaide pour.

Nous l'avons écartée, et pour une raison qui n'a rien de technique. Une remorque, c'est un permis de plus : l'attelage fait basculer la conduite en catégorie BE. Cela annulait, pour toutes les sorties, l'exigence d'accessibilité au permis B — c'est-à-dire l'exigence qui déterminait combien de personnes pouvaient faire partir le véhicule.

Le raisonnement. Un poste de commandement part en pleine nuit, un jour férié, pendant une catastrophe. À ce moment-là, on ne choisit pas qui est disponible : on prend qui est là. Chaque qualification supplémentaire exigée du conducteur réduit mécaniquement le nombre de personnes capables de faire partir le véhicule — et elle le réduit précisément dans les circonstances où le vivier est déjà le plus mince.

La remorque aurait aussi ajouté, sur place, une série de gestes que personne n'a envie de faire dans l'urgence : dételer, positionner, caler, raccorder, sécuriser, puis refaire le tout à l'envers au départ. Elle aurait créé un second objet à garer, à surveiller, à entretenir et à ne pas oublier. Elle aurait enfin séparé physiquement la source d'énergie de ce qu'elle alimente, avec une liaison de plus à monter et à protéger.

Le prix payé est réel et assumé : le groupe occupe du volume dans un véhicule qui en manque, il pèse sur une charge utile déjà comptée, et il tourne à quelques mètres des gens qui travaillent.

Le fil conducteur. Ces deux décisions — le réservoir commun et le groupe embarqué — sont la même décision. Dans les deux cas, on renonce à une élégance technique pour supprimer une condition de disponibilité : un bidon que quelqu'un doit penser à remplir, un permis que quelqu'un doit posséder. Un moyen d'intervention ne se juge pas sur ce qu'il sait faire quand tout va bien, mais sur ce qu'il sait encore faire quand il manque du monde, du temps et de l'information.

Le chauffage, même logique

Le chauffage est un appareil à combustion indépendant du moteur, relié au même réservoir et au parc de servitude. Même raisonnement, mêmes conséquences.

Il impose deux latences que l'opérateur doit absorber : environ une minute avant qu'il ne démarre, et quatre minutes de post-ventilation avant de pouvoir tout couper. On ne referme pas ce véhicule instantanément, et cela doit être connu de ceux qui l'utilisent.

Il impose surtout une contrainte que je n'avais pas anticipée : il faut le faire tourner au moins une fois par mois. Sur ce type d'appareil, l'inactivité prolongée devient elle-même un facteur de défaillance : encrassement, points de contact oxydés, circuits de carburant qui se chargent de dépôts. Et c'est vrai du groupe électrogène, de la climatisation et du parc de batteries : nous avons fini par instaurer une vérification mensuelle de ces quatre organes.

C'est une évidence rétrospective qu'il faut écrire noir sur blanc : un véhicule d'intervention passe l'essentiel de son existence à l'arrêt. Ce n'est pas l'usage qui le dégrade le plus, c'est l'immobilisation. Toute la documentation de conception décrit le véhicule en service ; c'est le régime de stationnement qui aurait mérité le plus d'attention.

Le point faible : l'arbitrage énergétique laissé à l'humain

C'est, avec le recul, la principale faiblesse de l'ensemble.

La règle d'exploitation que nous avons retenue est : ne jamais décharger complètement le parc, et basculer sur le groupe électrogène autour de 30 % de charge restante. Elle est correcte. Mais elle laisse à l'utilisateur une question à laquelle il ne peut pas répondre : est-ce que je peux me permettre d'allumer le micro-ondes maintenant ?

Nous connaissions le calibre du fusible à l'ampère près, et nous demandions à un agent d'estimer à vue un bilan énergétique. Il n'a jamais existé, dans ce projet, de bilan de puissance : ni capacité du parc en ampères-heures, ni puissance du groupe, ni consommation des postes, ni autonomie calculée par configuration d'usage.

Ce que je referais. Un tableau d'une page : pour chaque consommateur, sa puissance ; pour trois scénarios d'usage — veille, réunion, réunion avec climatisation et micro-ondes — l'autonomie estimée en heures. Affiché dans le véhicule, à côté de l'indicateur de charge. Cela ne coûte rien, et cela remplace « jugez par vous-même » par un chiffre. C'est aussi le seul moyen de rendre une exigence d'autonomie recevable : sans bilan, elle n'est pas mesurable, donc elle n'est pas opposable.

La signalisation, ou comment garder un double usage

Nous avons spécifié la signalisation prioritaire avec une précision inhabituelle : une quinzaine de modules LED affleurants, avec leurs dimensions et l'emplacement de chacun, répartis sur l'ensemble de la carrosserie plutôt que regroupés.

Ce niveau de détail n'est pas de la sur-spécification. C'est la traduction technique d'une exigence fonctionnelle qu'on oublie souvent d'écrire : obtenir un véhicule prioritaire qui ne ressemble pas à un véhicule prioritaire.

Des modules encastrés répartis sur la carrosserie donnent la même capacité qu'une rampe de toit, sans la silhouette qui va avec. Le véhicule reste banalisé à l'arrêt comme en circulation normale.

Le bénéfice est double, et il est opérationnel :

• un poste de commandement discret peut se positionner sans signaler sa présence, ce qui compte autant pour la tranquillité du site que pour le travail qui s'y fait ;
• surtout, le véhicule reste utilisable par des agents non habilités à la conduite prioritaire. Sans les feux et l'avertisseur, c'est un fourgon ordinaire, que tout titulaire du permis B peut conduire pour une mission non urgente.

Un véhicule unique, spécialisé et coûteux ne peut pas se permettre de ne servir que dans son cas nominal. La discrétion de la signalisation est ce qui a rendu le double usage possible — et c'est, là encore, une décision prise en pensant à la population d'agents plutôt qu'à la performance de l'équipement.

Deux détails d'exécution valent d'être retenus.

Le premier est une contrainte câblée plutôt que procédurale : l'avertisseur sonore ne fonctionne que si les feux bleus sont allumés. C'est conforme à l'usage réglementaire, et cela supprime matériellement le cas où quelqu'un déclenche le son sans la signalisation visuelle. Chaque fois qu'une règle peut être rendue impossible à enfreindre plutôt qu'écrite dans une consigne, il faut le faire.

Le second est une conséquence que nous n'avions pas anticipée : une fois l'équipement prioritaire installé, il n'est pas réversible. Le véhicule reste juridiquement un véhicule prioritaire, avec tout ce que cela implique sur qui peut le conduire et dans quelles conditions — y compris quand on voulait simplement le prêter pour une mission ordinaire. Le double usage que la discrétion rendait techniquement possible, la qualification réglementaire l'a en partie repris. Cette question aurait dû être tranchée avec un juriste avant la commande, pas découverte à l'usage.

L'informatique : le système qu'il a fallu concevoir à part

L'informatique embarquée — celle qui justifiait l'existence du véhicule — est sortie du périmètre du carrossier en cours de négociation. Elle est donc revenue à l'équipe interne, sans ligne budgétaire dédiée et sans calendrier propre.

Elle n'a pas été improvisée pour autant. Nous avons écrit notre propre spécification et lancé notre propre consultation.

La spécification, écrite en une matinée

Le document a été produit d'une traite : un brouillon en fin de nuit, une réécriture complète dans la matinée avec un plan d'implantation, une version figée à la mi-journée — et, trois minutes plus tard, une copie expurgée des prix, destinée à circuler chez les fournisseurs.

Ce dernier geste vaut d'être souligné parce qu'il ne coûte rien : on ne montre pas son budget à celui qui va chiffrer. Trois minutes de travail, une position de négociation préservée.

Passer de l'exigence au produit : quand c'est une faute, quand c'est une nécessité

Entre le brouillon et la version diffusée, la nature des exigences a basculé. Le brouillon disait : 4K, dalle LED ou OLED, au moins deux entrées HDMI, deux DisplayPort et une VGA. La version diffusée nommait un modèle précis, avec ses dimensions hors tout et sa masse — près de 25 kg.

Nommer un produit au lieu d'écrire un besoin est normalement une faute : cela restreint la concurrence et se paie. Ici, c'était la bonne décision, et la raison tient en deux grandeurs : le poids et l'encombrement.

Dans un bâtiment, « un écran 55 pouces 4K » est une exigence suffisante. Dans un véhicule, non : on ne conçoit pas une paroi sans savoir si l'objet qu'on y accroche pèse 12 ou 25 kilos, et on ne dessine pas une implantation sans sa largeur exacte. La masse et l'encombrement ne sont pas des caractéristiques commerciales, ce sont des données d'entrée structurelles. Les écrire suppose d'avoir choisi le produit.

La nuance. Nommer un produit dans un marché ouvert restreint la concurrence ; nommer un produit dans un dossier d'intégration est une nécessité physique. La vraie faute consiste à mélanger les deux registres. Le besoin fonctionnel va dans la commande, le produit retenu va dans le dossier technique — et les deux documents ne servent pas au même public.

Le reste suit la même logique, chaque poste avec ses cotes et sa masse : deux écrans de 24 pouces, une station de travail à carte graphique dédiée — dont le nombre de sorties commande directement le nombre d'écrans possibles —, une imprimante laser monochrome, un téléphone de conférence, une webcam-haut-parleur. En additionnant les colonnes :

Écran principal                  ~25 kg
Support écran + support mural      ~9 kg
2 écrans de poste               ~10-12 kg
Station de travail               ~8-12 kg
Imprimante laser                   15 kg
Téléphone de conférence + webcam   ~3 kg
                                ──────────
                                ≈ 70-76 kg   soit ~5 % de la charge utile

Soixante-dix kilos d'informatique, dont vingt-cinq accrochés à une paroi latérale soumise en permanence aux vibrations de la route. C'est là que se joue la suite.

Les vibrations : un problème qui change de propriétaire

La commande initiale prévoyait des suspensions arrière pneumatiques, et c'était la seule exigence du dossier à porter explicitement sa justification : éviter d'endommager l'équipement électronique en roulant.

Cette exigence a été abandonnée en cours de négociation. Le problème, lui, n'a pas disparu : un utilitaire chargé à suspension classique transmet à tout ce qu'il transporte des vibrations et des chocs continus, et une unité centrale bureautique n'est pas conçue pour vivre là-dedans.

Il a donc fallu traiter la vibration au niveau du matériel informatique : montage sur supports antivibratoires, désolidarisation des fixations, reprise des points d'ancrage. C'est-à-dire résoudre sur le poste le plus fragile, et avec les moyens de l'équipe interne, un problème que la solution d'origine traitait à la source, sous la caisse.

La leçon. Quand une exigence disparaît d'une commande, le besoin qui la motivait ne disparaît pas avec elle. Il ressort plus loin, sur un autre poste, généralement chez celui qui n'a ni le budget ni le mandat pour le traiter. Une exigence qui porte sa justification est la seule qu'on puisse retirer en connaissance de cause — et c'est précisément celle qui a sauté.

Ce que nous avons demandé aux fournisseurs

Pour la partie communication, nous avons consulté trois sociétés avec un délai de réponse de sept jours. Deux offres sont revenues.

Le besoin tenait en neuf points, et je les reprends parce qu'ils sont, relus des années après, plus utiles que ce que contenait la commande principale :

• matériel compatible avec un circuit 12 V de véhicule, résistant aux variations de température ;
• connexion mobile 3G/4G vers le réseau interne via VPN et APN ;
• cette solution validée par le département de sécurité informatique avant l'acceptation définitive de l'offre ; en cas de refus, adaptation à la charge du fournisseur, sans coût complémentaire ;
• un switch d'au moins 8 ports PoE pour raccorder les composants ;
• envoyer les images des caméras du véhicule vers le centre des opérations ;
• recevoir les images du centre de contrôle dans le véhicule ;
• un point d'accès WiFi ;
• une antenne extérieure pour renforcer le signal WiFi et mobile ;
• la position GPS en temps réel, exposée en page web et en API JSON, avec remontée d'alerte dans le logiciel de supervision au déplacement du véhicule ;
• et des dimensions de boîtier libres, pour que l'intégration reste maîtrisée de notre côté.

Trois de ces points méritent qu'on s'y arrête.

La clause de validation sécurité est la meilleure chose que nous ayons écrite. Elle place l'accord de l'équipe de sécurité informatique avant l'acceptation définitive, et met la charge d'adaptation sur le fournisseur, sans surcoût. C'est la réponse exacte au scénario classique : une solution validée fonctionnellement, livrée, installée — puis refusée par la sécurité, et refacturée pour être refaite. Ici le risque est porté par celui qui propose la solution, c'est-à-dire par celui qui peut l'éviter.

Le flux vidéo est explicitement bidirectionnel. Le véhicule devait envoyer ses propres images vers le centre des opérations et recevoir celles du centre de contrôle. Ce n'est ni un simple poste de consultation, ni un simple système de captation : c'est un nœud à double sens, et cela change tout le dimensionnement du lien.

La position GPS était spécifiée avec son interface, pas seulement comme une fonction : exposée en API, exploitable par un autre système, avec une alerte automatique au déplacement. Demander une donnée plutôt qu'un écran est ce qui permet à un équipement d'être intégré plus tard sans être remplacé.

Et pourtant. Cette fonction n'a jamais existé dans le véhicule. Nous l'avons abandonnée pour une raison qui n'a rien à voir avec la technique : la consommation électrique. Un traceur qui émet en permanence tire sur un parc de batteries déjà jugé trop juste. Spécifiée, chiffrée, commandée — et écartée à l'usage par le budget énergétique.

C'est l'enseignement central du projet : l'énergie arbitre en dernier ressort quelles fonctions survivent, y compris celles qui ont été correctement spécifiées.

La connectivité : routeur 4G industriel, APN dédié

Le lien avec l'extérieur repose sur un routeur 4G industriel à une seule carte SIM : alimentation continue, plage de température large, antennes externes, interface d'administration complète. C'est le bon outil pour vivre dans un véhicule, par opposition à un équipement grand public posé sur une étagère — et cette distinction n'est pas un luxe : c'est ce qui différencie un matériel qui survit à trois hivers d'un matériel qu'on remplace tous les six mois.

L'accès ne passe pas par l'internet mobile public mais par un APN dédié, qui place la carte SIM du véhicule dans un plan d'adressage maîtrisé. C'est le bon choix, et c'est aussi ce qui rend le reste difficile : l'APN règle la question de l'appartenance réseau, et déplace toute la difficulté vers le routage et le filtrage.

Le vrai coût du projet. Faire communiquer la vidéosurveillance depuis l'intérieur du véhicule a été, de loin, la partie la plus laborieuse. Non pas parce que les règles sont difficiles à écrire, mais parce que je ne tenais pas le pare-feu. Chaque flux à ouvrir supposait de décrire le besoin à une autre équipe, d'attendre l'arbitrage, de tester, de constater que ça ne passait toujours pas, et de recommencer.

C'est une situation que connaît quiconque a intégré un système dans une grande organisation, et elle mérite d'être nommée. Le travail technique ne consiste pas seulement à savoir quels flux ouvrir : il consiste à pouvoir démontrer, à une équipe qui ne connaît pas le projet et n'a aucune raison de faire confiance, qu'un flux donné est nécessaire, borné et sans effet de bord. Quand on ne peut pas tester soi-même, chaque hypothèse fausse coûte un aller-retour complet.

Ce que j'aurais dû produire dès le départ, c'est une matrice de flux : pour chaque échange, la source, la destination, le protocole, le port, le sens d'initialisation et la justification en une ligne. Ce document ne sert pas à documenter : il sert à obtenir une décision en une fois au lieu de six.

L'enregistrement change la nature du système

Le véhicule ne se contentait pas d'afficher : il enregistrait. C'est une différence de nature, pas de degré. Un poste qui affiche est un écran ; un poste qui enregistre est un traitement de données, avec tout ce que cela emporte : durée de conservation, base légale, personnes habilitées, traçabilité des consultations, sécurisation du support.

Aucun de ces cinq points n'a été traité au moment de la conception. Ils se posent le jour où l'on branche l'enregistreur, pas trois ans plus tard.

L'authentification : la friction que la sécurité impose à l'urgence

C'est le point que je trouve le plus instructif, et le moins discuté dans ce genre de projet.

Le poste embarqué est un poste de travail de l'organisation, intégré à l'annuaire d'entreprise : on l'ouvre avec un compte nominatif, comme n'importe quel poste de bureau. Et dans une grande structure, l'ouverture de session automatique n'est pas autorisée. C'est une règle parfaitement justifiée : un poste qui s'ouvre tout seul est un poste dont l'accès n'est plus imputable, et personne ne l'accepte sur un équipement qui donne accès à un réseau de caméras.

Mais elle se heurte frontalement à l'usage. Un poste de commandement doit être opérationnel à l'arrivée. Or, à l'arrivée :

• il faut alimenter le véhicule, donc trouver une prise ou démarrer le groupe ;
• il faut démarrer le poste ;
• il faut qu'une personne présente dispose d'un compte valide et s'en souvienne ;
• il faut que ce compte ait les droits d'accès au système de vidéosurveillance, qui sont nominatifs et restreints ;
• et il faut que la liaison mobile soit montée pour que le client vidéo atteigne le serveur.

Chacun de ces maillons est légitime. Mis bout à bout, ils transforment un véhicule « prêt à partir » en un véhicule « prêt dans un quart d'heure, si la bonne personne est là ».

Et le désaccord ne reste pas théorique. Notre propre procédure de contrôle périodique prévoyait de vérifier que le poste démarre et s'identifie automatiquement — c'est-à-dire de contrôler une fonction que la politique de sécurité interdisait.

Ce n'est ni une erreur de rédaction ni une négligence : c'est ce qui se produit lorsque deux besoins légitimes n'ont jamais été arbitrés ensemble. L'exploitation écrit ce dont elle a besoin, la sécurité écrit ce qu'elle ne peut pas accorder, et l'agent qui arrive sur place à deux heures du matin tranche à leur place.

Le vrai sujet. Ce n'est pas un conflit entre la sécurité et l'opérationnel : c'est un besoin de conception conjointe. Des comptes nominatifs préprovisionnés, rattachés à un rôle d'opérateur du véhicule aux droits strictement nécessaires, avec une journalisation renforcée, auraient satisfait les deux exigences : l'accès reste imputable à une personne, et il n'y a plus rien à créer ni à demander au moment du départ. Cela se décide au moment de l'architecture — pas le soir de la première sortie.

Ce que le système faisait réellement

Une dernière remarque, que je n'ai formulée qu'après coup : en pratique, le poste embarqué servait surtout de client déporté de la salle de contrôle. L'essentiel de ce qu'on y regardait venait des caméras fixes du réseau, réparties sur des sites distants — pas des abords immédiats du véhicule.

Le véhicule n'apportait donc pas principalement des images : il apportait un accès aux images qui existaient déjà. La captation locale complémentaire venait d'un autre chemin : une remorque caméra et des valises sur trépied, transportées séparément.

Cette bascule change les critères de choix d'un emplacement : se garer au bon endroit ne veut plus dire « avoir le bon angle de vue », mais « avoir du signal et une prise de courant ». Personne ne l'a formalisé, donc personne n'a pu en tirer les conséquences sur la doctrine de positionnement.

Et cette remorque caméra ramène, par la porte de derrière, la contrainte que nous avions refusée pour le groupe électrogène : attelée, elle impose le permis BE. La différence est qu'ici le compromis se défend — elle n'est emmenée que lorsque la captation locale est nécessaire, alors qu'un groupe remorqué aurait été de toutes les sorties. Une contrainte occasionnelle et une contrainte permanente ne se jugent pas de la même façon, même quand c'est exactement la même contrainte.

Les erreurs que nous avons faites

L'écran trop grand, et pourquoi c'est arrivé

C'est mon erreur, et je la raconte en entier parce que le mécanisme qui l'a produite est plus intéressant que l'erreur elle-même.

Nous avons retenu un 55 pouces 4K de près de 25 kg, monté sur une paroi latérale, face à une table où l'on est assis à un peu plus d'un mètre. C'est beaucoup trop grand. On ne peut pas embrasser une mosaïque de vidéosurveillance du regard à cette distance : on balaie l'image au lieu de la lire, et la surface consommée sur la paroi ne sert plus à rien d'autre.

La vraie cause n'est pas un mauvais calcul. C'est qu'il n'y a pas eu de calcul du tout. Nous devions choisir dans un catalogue d'écrans standards validés par l'organisation, et nous avons pris ce qu'on prend d'habitude, sans y réfléchir.

Ce réflexe est normalement le bon. Un catalogue de matériel standard, c'est du matériel déjà validé, déjà supporté, déjà négocié, dont on connaît le délai d'approvisionnement et le remplaçant. S'en écarter coûte du temps et des justifications. Dans la plupart des cas, piocher dedans est la décision rationnelle.

Le piège. Un catalogue standard n'est pas une liste de produits : c'est une série de décisions déjà prises par quelqu'un d'autre, pour un environnement donné. Celui-ci supposait un bureau : un mur en dur, trois à quatre mètres de recul, pas de vibration, une alimentation secteur permanente, et quelqu'un d'autre pour faire la pose. Aucune de ces quatre hypothèses n'était vraie dans un véhicule — et rien, dans le catalogue, ne vous signale que vous venez d'en sortir.

Toutes les données du problème étaient pourtant sous nos yeux, puisque nous avions relevé la diagonale, l'encombrement et la masse. La seule grandeur qui manquait est celle qui n'appartient pas au produit mais au lieu : la distance de vision. Personne ne l'a écrite, parce que dans un bureau elle va de soi.

Et l'erreur a coûté deux fois. Vingt-cinq kilos accrochés à une paroi soumise en permanence aux vibrations, cela suppose un renfort, une platine, une reprise d'efforts — donc du poids supplémentaire, prélevé sur la même charge utile déjà comptée au kilo près. Deux écrans plus petits, ou un écran de diagonale moyenne sur bras orientable, auraient mieux servi, pesé moins et laissé de la paroi disponible.

La règle que j'en tire. Avant d'ouvrir un catalogue standard, écrire la contrainte du lieu — ici : distance de vision maximale, donc diagonale maximale ; masse admissible sur la paroi, donc poids maximal. Deux lignes, écrites avant de regarder les références disponibles. Si aucun article du catalogue ne les respecte, c'est l'information la plus utile de toute la phase de conception : elle dit qu'on est sorti du domaine de validité du standard, et qu'il faut assumer une dérogation plutôt que subir un défaut.

L'absence de bilan de puissance

Déjà évoquée, et c'est la plus lourde : une autonomie exprimée en heures sans le bilan énergétique qui la rend vérifiable. L'exigence n'a jamais été recettée, et l'arbitrage est retombé sur l'utilisateur.

La documentation informatique qui n'a jamais existé

Nous avons documenté avec soin le groupe électrogène, le chauffage, la climatisation, le parc de batteries, la signalisation. Sur l'informatique embarquée, il n'y a jamais eu de procédure de mise en route, d'ordre d'allumage, d'adresses, de conduite à tenir en cas de flux figé, ni de contact technique de référence. La formation donnée aux équipes à la prise en main portait sur le véhicule, pas sur le système.

La chaîne fonctionnait. Mais rien n'était écrit qui permette à quelqu'un d'autre de la remettre en route. C'est la fragilité la plus sérieuse de l'ensemble — plus sérieuse que n'importe quel réglage technique, qui se corrige en une journée. Toute la connaissance tenait dans la tête de deux ou trois personnes.

L'intendance, le problème qu'on ne voit pas venir

Nous avions prévu un sanitaire : une toilette à cassette chimique, fixe, dans l'espace arrière. C'est la solution standard du véhicule de loisir : fiable, sans infrastructure, éprouvée.

Ce que nous n'avions pas prévu, c'est qui vide et nettoie la cassette.

Le nettoyage d'un véhicule est un marché banal ; la vidange et l'assainissement d'une toilette chimique ne le sont pas. Ce n'est ni du nettoyage de bureaux, ni du lavage automobile, ni de l'entretien technique : c'est une prestation spécifique, que peu de sociétés proposent et qui n'entre dans aucune ligne de contrat existante.

Nous n'avons jamais trouvé de prestataire. La charge est retombée sur les conducteurs, avec une servitude qu'aucune spécification n'avait envisagée : la cassette ne peut être vidée que sur les aires de service pour camping-cars, ce qui suppose de savoir où elles se trouvent, et d'y aller.

Nous avons fini par embarquer la liste des aires dans le véhicule, sur papier. C'est un détail qui en dit long : l'information était disponible en ligne, mais sur le terrain, la nuit, personne n'ouvre un intranet. Une information d'exploitation qui n'est pas physiquement à bord ne peut pas être tenue pour disponible.

Et encore : établir cette liste n'a pas réglé le problème, il l'a seulement rendu visible.

Ces aires ne nous appartiennent pas. Elles sont recensées par des tiers, elles ouvrent et ferment sans prévenir, et rien ne garantit ce qu'on y trouvera. À l'usage : certaines n'existaient plus, d'autres ne proposaient le service que contre paiement — ce qui suppose d'avoir un moyen de paiement, une procédure de remboursement, et quelqu'un qui accepte la dépense. Une liste imprimée est un instantané : elle vieillit à partir de la seconde où on la sort de l'imprimante, et personne n'était chargé de la tenir à jour.

Le fond du problème est ailleurs, et il est structurel : comment prévoit-on à l'avance où l'on ira, alors qu'on ne sait pas où le véhicule sera envoyé ? Un poste de commandement part là où l'événement se produit ; c'est la définition même de son emploi. On ne peut donc ni préparer l'itinéraire, ni réserver, ni vérifier à l'avance — et maintenir à jour plusieurs centaines de points pour quelques sorties par an n'a évidemment aucun sens.

Ce que ça révèle. Une dépendance d'exploitation qu'on ne peut ni planifier, ni vérifier, ni maîtriser n'est pas une solution : c'est un problème reporté sur la personne qui sera là au mauvais moment. Le coût réel n'est pas la vidange : c'est l'incertitude, au moment précis où l'on a autre chose à faire.

L'histoire s'est terminée de la seule façon possible : le sanitaire a été démonté.

La leçon générale. Le choix d'un composant n'engage pas seulement son prix et son encombrement : il engage une filière d'entretien. Avant de retenir un équipement, il faut pouvoir nommer qui le maintient, sous quel contrat, à quel coût récurrent — et, s'il dépend d'une ressource extérieure, qui garantit que cette ressource sera là. Si la réponse est « on verra », c'est qu'il finira déposé. Ce sanitaire a coûté une découpe irréversible de carrosserie, du volume prélevé sur une cellule déjà contrainte, une servitude logistique permanente et invérifiable, et il a été retiré. Le coût d'acquisition n'est pas le coût.

Ce que l'exploitation nous a appris

Presque toutes les règles que nous avons fini par imposer aux utilisateurs sont nées d'un incident. Aucune n'avait été déduite de la conception. Les voici, avec ce qu'elles corrigent :

La cinquième ligne est celle qui m'a le plus appris. Après quelques semaines d'exploitation, nous avons dû instaurer un briefing oral systématique à chaque remise de clés, portant sur le fonctionnement général, la climatisation, le chauffage, le groupe électrogène et les points d'attention. Autrement dit : nous avons reconnu par écrit que l'écrit ne suffisait pas.

Ce n'est pas un aveu d'échec, c'est une donnée de conception. Sur un équipement complexe, partagé, utilisé rarement et par des personnes différentes à chaque fois, le transfert de compétence à la prise en main fait partie du système, au même titre que les batteries. Il doit être prévu, chiffré et attribué dès le départ — pas découvert après la mise en service.

Le contrôle périodique, et le gabarit qu'on n'a pas vidé

Nous avons fini par formaliser le contrôle mensuel dans une grille : carrosserie, pneus, niveaux, écrans, poste informatique, groupe électrogène, climatisation, chauffage, GPS, point d'accès WiFi, connexion filaire, micro-ondes, signalisation, tension de batterie et circuit 230 V. C'est ce qui manquait : elle transforme « vérifier chaque composant une fois par mois » en une liste que quelqu'un peut réellement dérouler, sans avoir à se souvenir de rien.

Nous l'avons construite, comme tout le monde, à partir d'un gabarit existant — en l'occurrence une grille de test d'une installation technique sans rapport avec le sujet. Et le gabarit a emporté avec lui tout son contenu d'origine : ses autres onglets, sa terminologie, ses séquences, ses références de procédure.

Le réflexe à prendre. Un tableur, une présentation ou un document réutilisés emportent tout ce que contenait l'original : les autres onglets, les cellules masquées, les commentaires, et l'identité de l'auteur d'origine. Recycler un gabarit fait gagner dix minutes ; le vider complètement en coûte deux. Avant de diffuser un document dérivé, il faut ouvrir tous ses onglets — et se demander ce qu'il dirait à quelqu'un qui n'aurait pas dû le recevoir. C'est l'un des vecteurs de fuite d'information les plus banals qui soient, et le plus facile à neutraliser.

Ce que je retiens

1. La masse est le vrai cahier des charges. Sous 3,5 tonnes, le nombre de places, l'habitabilité et l'équipement sont un seul et même budget. Toute fonction ajoutée en retire une autre — et il vaut mieux l'annoncer au commanditaire à la spécification qu'à la livraison.
2. Concevoir pour l'agent qui sera là, pas pour celui qu'on aurait voulu. Le réservoir commun supprime un bidon que quelqu'un doit penser à remplir ; le groupe embarqué plutôt qu'en remorque supprime un permis que quelqu'un doit posséder. Les deux sacrifient une élégance technique pour retirer une condition de disponibilité — et c'est le bon calcul sur un moyen qui part la nuit, un jour férié, avec l'équipe qui se trouve là.
3. Câbler la règle plutôt que l'écrire. Le démarreur coupé quand le câble secteur est branché, l'avertisseur sonore asservi aux feux : chaque fois qu'une règle peut être rendue matériellement impossible à enfreindre, elle n'a plus besoin d'être apprise, rappelée ni contrôlée.
4. Une exigence de performance sans protocole de recette n'est pas une exigence. « 72 heures d'autonomie » est excellent sur le principe et invérifiable en pratique tant qu'on n'a pas écrit avec quelle charge, dans quelles conditions et mesuré comment.
5. Une exigence qui porte sa justification est la seule qu'on puisse retirer en connaissance de cause. La suspension pneumatique était la seule du dossier à dire pourquoi elle existait ; elle a sauté, et le problème de vibration est ressorti sur le matériel informatique, chez ceux qui n'avaient ni budget ni mandat pour le traiter.
6. Dans un aménagement, le poids et l'encombrement sont la spécification. « Un écran 55 pouces 4K » suffit dans un bâtiment ; dans un véhicule il faut connaître la masse et l'encombrement réels, donc il faut avoir choisi le produit. Mais la cote qui manquait n'appartenait pas au produit : c'était la distance de vision, et c'est elle qui aurait dû commander toutes les autres.
7. Un catalogue standard est une décision déjà prise par quelqu'un d'autre, pour un environnement qui n'est peut-être pas le vôtre. Piocher dedans est le bon réflexe la plupart du temps — et rien ne vous avertit quand ce n'en est plus un. Écrire les contraintes du lieu avant d'ouvrir le catalogue est le seul garde-fou ; et si rien n'y répond, c'est l'information la plus utile de la phase de conception.
8. Faire valider la sécurité avant l'acceptation, aux frais du fournisseur. La meilleure clause que nous ayons écrite tient en une phrase : la solution doit être validée par la sécurité informatique avant acceptation définitive, et le fournisseur l'adapte sans coût complémentaire en cas de refus. Elle place le risque chez celui qui peut l'éviter.
9. Quand on ne tient pas le pare-feu, le premier livrable est une matrice de flux. Source, destination, protocole, port, sens d'initialisation, justification en une ligne. Sans elle, chaque hypothèse fausse coûte un aller-retour complet avec une équipe qui ne connaît pas le projet.
10. La politique de sécurité doit entrer dans la conception, pas dans la recette. L'interdiction de l'ouverture de session automatique est justifiée ; elle rend simplement le poste indisponible à l'arrivée si personne n'a anticipé les comptes et les droits. Ces deux exigences se concilient très bien — au moment de l'architecture.
11. Un système qui enregistre n'est pas un système qui affiche. Dès qu'un véhicule conserve des images, il devient un traitement de données : conservation, base légale, habilitations, traçabilité des consultations, sécurisation du support. Ces questions se posent en branchant l'enregistreur, pas trois ans après.
12. Un choix de composant engage une filière d'entretien. Une toilette à cassette coûte quelques centaines d'euros, une découpe irréversible et une charge récurrente pour laquelle aucun prestataire n'a jamais été trouvé. Elle a fini démontée. Si personne ne peut nommer qui entretiendra un équipement, c'est qu'il sera retiré.
13. La configuration et le transfert de compétence sont des livrables. Une capture d'écran dans un dossier partagé n'est pas une documentation d'infrastructure, et un briefing oral improvisé n'est pas une formation. Ce qui n'est pas écrit disparaît avec la personne qui l'a monté — et c'est la seule fragilité qu'une journée de travail ne suffit pas à corriger.