Construire un poste de commandement mobile

Notes de chantier de 2020, mises au propre pour ce blog en 2026 — contexte et détails anonymisés.

Un poste de commandement mobile est un véhicule qu'on envoie sur un incident pour y installer, en quelques minutes, une salle de coordination : une table où plusieurs services s'assoient ensemble, de quoi voir des images de vidéosurveillance en direct, du courant, du chauffage, un endroit où tenir plusieurs heures.

Dit comme ça, c'est simple. En pratique, tout le projet consiste à faire tenir cette phrase dans un véhicule de trois tonnes et demie, et chaque élément qu'on ajoute en retire un autre.

J'ai participé à la conception, à la spécification et à la mise en service d'un véhicule de ce type. Ce texte rassemble les arbitrages faits, ceux qui étaient justes, ceux qui étaient des erreurs. Je l'écris parce que ce genre de projet est rare, que chacun le redécouvre seul, et que la plupart des difficultés rencontrées n'étaient pas techniques.

Mon rôle. J'ai eu la responsabilité complète de la partie informatique et télécom : besoin, spécification, consultation et sélection des fournisseurs, intégration, connectivité avec l'infrastructure existante, mise en service. Le véhicule lui-même était un projet collectif ; ce que je rapporte sur l'énergie, la signalisation ou l'intendance a été décidé à plusieurs, et je le décris parce que ça conditionnait mon périmètre, pas parce que ça m'appartient.

L'équation de départ : 3,5 tonnes et tout le reste

La première contrainte n'est pas technique, elle est administrative, et elle plafonne tout le reste : le véhicule devait rester conduisible avec un permis B, donc sous 3 500 kg. Sur un fourgon long et rehaussé, il reste de l'ordre de 1 400 kg de charge utile, dans lesquels loger l'aménagement complet, les batteries, le groupe électrogène, la climatisation, le mobilier, le sanitaire, l'informatique, les consommables et les occupants. Cette exigence ne décrit pas un équipement, elle décrit qui pourra partir avec le véhicule, et nous y sommes revenus à chaque décision importante.

La deuxième contrainte vient de l'usage. En gestion de crise, on ne coordonne pas « des gens » : on coordonne des services distincts, chacun avec son représentant et son autorité. D'où l'objectif, une place assise par service intervenant, cinq dans notre cas. Plus la liste de ce qui rend un poste tenable dans la durée : micro-ondes, réfrigérateur, climatisation, deux écrans au poste opérateur, un grand écran de partage, une imprimante, un sanitaire.

Nous avons obtenu les cinq places, avec une géométrie qui n'est pas évidente : quatre en vis-à-vis autour de la table, plus une cinquième latérale, le poste opérateur étant distinct.

        ┌─────────────────────────────────────────┐
  avant │  [1]   [2]          poste opérateur     │ arrière
        │   ╞═══╡ table                   ▓▓ ▓▓   │   cargo + sanitaire
        │  [3]   [4]                              │
        │                          [5] ◄ latérale │
        └─────────────────────────────────────────┘
        4 en vis-à-vis + 1 latérale, une par service intervenant

Le vis-à-vis n'est pas un détail d'aménagement : c'est la seule disposition qui permette à cinq personnes de se parler dans une largeur de fourgon. En rangée, on obtient des sièges ; en vis-à-vis, on obtient une réunion.

L'énergie, qui arbitre tout le reste

La commande posait une seule exigence énergétique : 72 heures d'autonomie sans raccordement au réseau, en conditions intensives, en nous laissant libres de la solution. Sur le principe, c'est la bonne façon d'écrire une exigence : on demande un résultat, on n'impose pas une architecture.

Il n'y avait rien d'autre. Pas d'ampère-heure, pas de kVA, pas de consommation horaire par poste. Et surtout, aucun protocole de recette : rien qui dise comment on vérifie 72 heures, avec quelle charge, dans quelles conditions. Elle ne l'a jamais été.

Le circuit additionnel et sa séparation

Le véhicule a deux mondes électriques. Celui d'origine, qui démarre le moteur. Et un circuit additionnel totalement indépendant qui alimente tout l'aménagement : un parc de batteries de servitude sous la banquette, protégé par un fusible de 500 A, isolé du circuit véhicule par un relais séparateur.

Ce relais est la pièce la plus critique de l'installation, et celle dont on parle le moins. Il rend matériellement impossible le scénario qui tue une intervention : consommer la batterie de démarrage en travaillant, et ne plus pouvoir repartir. On peut vider la servitude jusqu'au bout, le moteur démarrera quand même. Le calibre de 500 A dit le reste : un parc capable de débiter très fort, ce qu'exige un onduleur qui alimente une climatisation et un micro-ondes en 230 V.

Trois sources de recharge, une seule règle

Prise 230 V extérieure  ──┐
Alternateur (moteur)    ──┼──►  chargeur  ──►  parc de servitude  ──►  installation
Groupe électrogène      ──┘                           │
                                                      └─ seuil d'alerte : 30 %

La recharge est automatique quelle que soit la source. La prise extérieure est une prise de type caravane, côté conducteur, avec témoin lumineux, et elle embarque une sécurité qui distingue un aménagement pensé d'un aménagement bricolé : un contact coupe le démarreur tant que le câble est branché. Sans elle, on part en urgence, on arrache le câble, et on arrive sur place sans alimentation extérieure. Un rappel visuel n'aurait pas suffi ; dans l'urgence, personne ne regarde.

Le réservoir unique, et le groupe à bord

Le groupe électrogène n'a pas son propre réservoir : il puise directement dans le réservoir du véhicule. Cela ressemble à un couplage malheureux, puisque rouler consomme l'autonomie électrique du poste. C'est exact, et c'était délibéré : un réservoir séparé, c'est un réservoir que quelqu'un oublie de remplir. Un bidon, une vérification, une responsabilité à assigner, et l'oubli se découvre sur place, la nuit, quand le groupe ne démarre pas.

La deuxième décision procède du même raisonnement, contre une solution techniquement plus simple. Mettre le groupe sur une remorque libère du volume et de la charge utile, éloigne le bruit, simplifie la maintenance : sur le papier, tout plaide pour. Nous l'avons écartée parce qu'une remorque, c'est un permis de plus. L'attelage fait basculer la conduite en catégorie BE, ce qui annulait pour toutes les sorties l'exigence d'accessibilité au permis B.

Le raisonnement. Dans les deux cas, nous avons échangé une élégance technique contre la suppression d'une condition de disponibilité : un bidon que quelqu'un doit penser à remplir, un permis que quelqu'un doit posséder. Un poste de commandement part en pleine nuit, un jour férié, pendant une catastrophe. On ne choisit pas qui est disponible, on prend qui est là, et chaque qualification exigée du conducteur réduit le vivier précisément quand il est déjà le plus mince.

Le prix est assumé : le groupe occupe du volume, pèse sur une charge utile comptée au kilo, et tourne à quelques mètres des gens qui travaillent. Et le réservoir commun change le sens d'un geste quotidien : un demi-réservoir n'est plus « assez pour rouler », c'est « pas assez pour tenir la nuit sur place ».

Le chauffage, même logique

Le chauffage est un appareil à combustion indépendant du moteur, relié au même réservoir et au parc de servitude. Il impose deux latences : environ une minute avant qu'il ne démarre, quatre minutes de post-ventilation avant de pouvoir tout couper. On ne referme pas ce véhicule instantanément.

Il impose surtout une contrainte que je n'avais pas anticipée : il faut le faire tourner au moins une fois par mois. L'inactivité prolongée est elle-même un facteur de défaillance (encrassement, contacts oxydés, dépôts dans le circuit de carburant), et c'est vrai du groupe, de la climatisation et des batteries. D'où une vérification mensuelle de ces quatre organes.

Un véhicule d'intervention passe l'essentiel de son existence à l'arrêt, et c'est l'immobilisation qui le dégrade, pas l'usage. Toute notre documentation décrivait le véhicule en service ; c'est le régime de stationnement qui aurait mérité le plus d'attention.

Le point faible : l'arbitrage énergétique laissé à l'humain

C'est, avec le recul, la principale faiblesse de l'ensemble. La règle retenue est correcte : ne jamais décharger complètement le parc, basculer sur le groupe autour de 30 % de charge restante. Mais elle laisse à l'utilisateur une question à laquelle il ne peut pas répondre : est-ce que je peux me permettre d'allumer le micro-ondes maintenant ?

Nous connaissions le calibre du fusible à l'ampère près, et nous demandions à un agent d'estimer à vue un bilan énergétique. Il n'a jamais existé de bilan de puissance dans ce projet : ni capacité du parc en ampères-heures, ni puissance du groupe, ni consommation des postes.

Ce que je referais tient sur une page : pour chaque consommateur, sa puissance ; pour trois scénarios d'usage, l'autonomie estimée en heures, affichée à côté de l'indicateur de charge. Cela remplace « jugez par vous-même » par un chiffre, et c'est le seul moyen de rendre une exigence d'autonomie opposable.

La signalisation, ou comment garder un double usage

Nous avons spécifié la signalisation prioritaire avec une précision inhabituelle : une quinzaine de modules LED affleurants, dimensions et emplacement de chacun, répartis sur toute la carrosserie plutôt que regroupés. Ce n'est pas de la sur-spécification : c'est ainsi que se traduit techniquement une exigence fonctionnelle qu'on oublie d'écrire, obtenir un véhicule prioritaire qui ne ressemble pas à un véhicule prioritaire.

Le bénéfice est opérationnel : le véhicule reste utilisable par des agents non habilités à la conduite prioritaire : sans les feux et l'avertisseur, c'est un fourgon ordinaire que tout titulaire du permis B peut conduire pour une mission non urgente.

Restent deux points d'exécution, dont le second nous a échappé. Le premier est une contrainte câblée plutôt que procédurale : l'avertisseur sonore ne fonctionne que si les feux bleus sont allumés. Chaque fois qu'une règle peut être rendue impossible à enfreindre plutôt qu'écrite dans une consigne, il faut le faire.

Le second : une fois l'équipement prioritaire installé, il n'est pas réversible. Le véhicule reste juridiquement prioritaire, avec tout ce que cela implique sur qui peut le conduire, y compris quand on voulait simplement le prêter pour une mission ordinaire. Le double usage que la discrétion rendait techniquement possible, la qualification réglementaire l'a en partie repris. À trancher avec un juriste avant la commande.

L'informatique : le système qu'il a fallu concevoir à part

L'informatique embarquée, celle qui justifiait l'existence du véhicule, est sortie du périmètre du carrossier en cours de négociation. Elle est donc revenue à l'équipe interne, sans ligne budgétaire dédiée ni calendrier propre. Elle n'a pas été improvisée pour autant : nous avons écrit notre propre spécification et lancé notre propre consultation.

Le document a été produit d'une traite : brouillon en fin de nuit, réécriture complète dans la matinée avec un plan d'implantation, version figée à la mi-journée, et trois minutes plus tard une copie expurgée des prix destinée à circuler chez les fournisseurs. Ce geste ne coûte rien : on ne montre pas son budget à celui qui va chiffrer.

Passer de l'exigence au produit : quand c'est une faute, quand c'est une nécessité

Entre le brouillon et la version diffusée, la nature des exigences a basculé. Le brouillon disait : 4K, dalle LED ou OLED, au moins deux entrées HDMI, deux DisplayPort et une VGA. La version diffusée citait un modèle de référence, avec ses dimensions hors tout et sa masse, près de 25 kg.

Dans un marché public, on écrit un besoin, pas un produit ; on peut citer un modèle de référence, toujours « ou équivalent », à condition de fixer les contraintes qui comptent vraiment. Ici, ces contraintes étaient la masse et l'encombrement. Dans un bâtiment, « un écran 55 pouces 4K » suffit ; dans un véhicule, non. On ne conçoit pas une paroi sans savoir si l'objet qu'on y accroche pèse 12 ou 25 kilos. La masse et l'encombrement ne sont pas des caractéristiques commerciales, ce sont des données d'entrée structurelles, et les écrire suppose d'avoir identifié au moins un produit qui les respecte. La vraie faute consisterait à mélanger les registres : le besoin fonctionnel et ses maxima vont dans la commande, le modèle de référence dans le dossier technique.

Le reste suit la même logique, chaque poste avec ses cotes et sa masse : deux écrans de 24 pouces, une station de travail à carte graphique dédiée, une imprimante laser monochrome, un téléphone de conférence, une webcam-haut-parleur.

Écran principal                  ~25 kg
Support écran + support mural      ~9 kg
2 écrans de poste               ~10-12 kg
Station de travail               ~8-12 kg
Imprimante laser                   15 kg
Téléphone de conférence + webcam   ~3 kg
                                ──────────
                                ≈ 70-76 kg   soit ~5 % de la charge utile

Soixante-dix kilos d'informatique, dont vingt-cinq accrochés à une paroi latérale soumise en permanence aux vibrations de la route. C'est là que se joue la suite.

Les vibrations : un problème qui change de propriétaire

La commande initiale prévoyait des suspensions arrière pneumatiques, et c'était la seule exigence du dossier à porter explicitement sa justification : éviter d'endommager l'équipement électronique en roulant.

Elle a été abandonnée en cours de négociation. Le problème n'a pas disparu : un utilitaire chargé à suspension classique transmet des vibrations et des chocs continus, et une unité centrale bureautique n'est pas conçue pour vivre là-dedans. Il a donc fallu traiter la vibration au niveau du matériel informatique : supports antivibratoires, désolidarisation des fixations, reprise des points d'ancrage. Résoudre sur le poste le plus fragile, avec les moyens de l'équipe interne, un problème que la solution d'origine traitait sous la caisse.

La leçon. Quand une exigence disparaît d'une commande, le besoin qui la motivait ne disparaît pas avec elle. Il ressort plus loin, sur un autre poste, généralement chez celui qui n'a ni le budget ni le mandat pour le traiter. Une exigence qui porte sa justification est la seule qu'on puisse retirer en connaissance de cause, et c'est précisément celle qui a sauté.

Ce que nous avons demandé aux fournisseurs

Pour la partie communication, nous avons consulté trois sociétés avec un délai de réponse de sept jours. Deux offres sont revenues. Le besoin tenait en neuf points, relus des années après plus utiles que la commande principale :

• matériel compatible 12 V, résistant aux variations de température ;
• connexion mobile 3G/4G vers le réseau interne via VPN et APN ;
• cette solution validée par la sécurité informatique avant l'acceptation définitive de l'offre ; en cas de refus, adaptation à la charge du fournisseur, sans coût complémentaire ;
• un switch d'au moins 8 ports PoE ;
• envoyer les images des caméras du véhicule vers le centre des opérations ;
• recevoir dans le véhicule les images du centre de contrôle ;
• un point d'accès WiFi, et une antenne extérieure pour renforcer le signal WiFi et mobile ;
• la position GPS en temps réel, en page web et en API JSON, avec alerte dans la supervision au déplacement du véhicule ;
• des dimensions de boîtier libres, pour que l'intégration reste maîtrisée de notre côté.

La clause de validation sécurité est la meilleure chose que nous ayons écrite. Elle répond exactement au scénario classique : une solution validée fonctionnellement, livrée, installée, puis refusée par la sécurité, et refacturée pour être refaite. Ici le risque est porté par celui qui peut l'éviter.

Le flux vidéo, lui, est explicitement bidirectionnel : ni un poste de consultation ni un système de captation, mais un nœud à double sens, ce qui change tout le dimensionnement du lien.

La position GPS était spécifiée avec son interface, exploitable par un autre système : demander une donnée plutôt qu'un écran permet d'intégrer un équipement plus tard sans le remplacer. Et pourtant la fonction n'a jamais existé dans le véhicule, abandonnée pour une raison qui n'a rien à voir avec la technique : la consommation électrique. Un traceur qui émet en permanence tire sur un parc déjà jugé trop juste.

C'est l'enseignement central du projet : l'énergie arbitre en dernier ressort quelles fonctions survivent, y compris celles qui ont été correctement spécifiées.

La connectivité : routeur 4G industriel, APN dédié

Le lien avec l'extérieur repose sur un routeur 4G industriel à une seule carte SIM : alimentation continue, plage de température large, antennes externes, administration complète. C'est ce qui sépare un matériel qui survit à trois hivers d'un équipement grand public qu'on remplace tous les six mois.

L'accès ne passe pas par l'internet mobile public mais par un APN dédié, qui place la carte SIM dans un plan d'adressage maîtrisé. C'est le bon choix, et c'est aussi ce qui rend le reste difficile : il règle l'appartenance réseau et déplace toute la difficulté vers le routage et le filtrage.

Faire communiquer la vidéosurveillance depuis l'intérieur du véhicule a été, de loin, la partie la plus laborieuse du projet. Non parce que les règles sont difficiles à écrire, mais parce que je ne tenais pas le pare-feu. Chaque flux supposait de décrire le besoin à une autre équipe, d'attendre l'arbitrage, de tester, de constater que ça ne passait toujours pas, et de recommencer. Le travail ne consiste pas à savoir quels flux ouvrir, il consiste à pouvoir démontrer, à une équipe qui ne connaît pas le projet, qu'un flux est nécessaire, borné et sans effet de bord.

Ce que j'aurais dû produire dès le départ, c'est une matrice de flux : pour chaque échange, la source, la destination, le protocole, le port, le sens d'initialisation et la justification en une ligne. Ce document ne sert pas à documenter, il sert à obtenir une décision en une fois au lieu de six.

(Note ajoutée depuis : quatre ans plus tard, j'ai écrit ce que devient cette matrice quand c'est tout un parc de caméras qu'il faut cloisonner.)

L'enregistrement change la nature du système

Le véhicule ne se contentait pas d'afficher : il enregistrait. Un poste qui affiche est un écran ; un poste qui enregistre est un traitement de données, avec tout ce que cela emporte : durée de conservation, base légale, personnes habilitées, traçabilité des consultations, sécurisation du support. Ces cinq points relèvent de la conception, au même titre que l'alimentation : ils se décident avant de brancher l'enregistreur, pas après.

L'authentification : la friction que la sécurité impose à l'urgence

C'est le point que je trouve le plus instructif, et le moins discuté dans ce genre de projet.

Le poste embarqué est un poste de travail de l'organisation, intégré à l'annuaire d'entreprise : on l'ouvre avec un compte nominatif. Et dans une grande structure, l'ouverture de session automatique n'est pas autorisée : un poste qui s'ouvre tout seul est un poste dont l'accès n'est plus imputable, et personne ne l'accepte sur un équipement qui donne accès à un réseau de caméras.

Mais elle se heurte frontalement à l'usage, parce qu'un poste de commandement doit être opérationnel à l'arrivée. Or, à l'arrivée : il faut alimenter le véhicule, donc trouver une prise ou démarrer le groupe ; démarrer le poste ; qu'une personne présente dispose d'un compte valide et s'en souvienne ; que ce compte ait les droits d'accès au système de vidéosurveillance, nominatifs et restreints ; et que la liaison mobile soit montée. Chacun de ces maillons est légitime. Mis bout à bout, ils transforment un véhicule « prêt à partir » en un véhicule « prêt dans un quart d'heure, si la bonne personne est là ».

Et le désaccord n'a rien de théorique. Une procédure de contrôle rédigée côté exploitation peut très bien demander de vérifier que le poste démarre et s'identifie automatiquement, c'est-à-dire de contrôler une fonction que la politique de sécurité interdit. C'est ce qui se produit quand deux besoins légitimes n'ont jamais été arbitrés ensemble : l'exploitation écrit ce dont elle a besoin, la sécurité ce qu'elle ne peut pas accorder, et l'agent qui arrive sur place à deux heures du matin tranche à leur place.

Le vrai sujet. Ce n'est pas un conflit entre la sécurité et l'opérationnel, c'est un besoin de conception conjointe. Des comptes nominatifs préprovisionnés, rattachés à un rôle d'opérateur du véhicule aux droits strictement nécessaires, avec journalisation renforcée, auraient satisfait les deux exigences : l'accès reste imputable, et il n'y a plus rien à demander au moment du départ. Cela se décide à l'architecture, pas le soir de la première sortie.

Ce que le système faisait réellement

Une remarque que je n'ai formulée qu'après coup : en pratique, le poste embarqué servait surtout de client déporté de la salle de contrôle. L'essentiel de ce qu'on y regardait venait des caméras fixes du réseau, sur des sites distants, pas des abords du véhicule. Il n'apportait donc pas des images, il apportait un accès aux images qui existaient déjà ; la captation locale venait d'un autre chemin, une remorque caméra et des valises sur trépied.

Cette bascule change les critères de choix d'un emplacement : se garer au bon endroit ne veut plus dire « avoir le bon angle de vue », mais « avoir du signal et une prise de courant ». Personne ne l'a formalisé, donc personne n'a pu en tirer les conséquences sur la doctrine de positionnement.

Et la remorque caméra ramène par la porte de derrière la contrainte refusée pour le groupe : attelée, elle impose le permis BE. Ici le compromis se défend, puisqu'elle n'est emmenée que lorsque la captation locale est nécessaire, alors qu'un groupe remorqué aurait été de toutes les sorties. Une contrainte occasionnelle et une contrainte permanente ne se jugent pas de la même façon, même quand c'est exactement la même contrainte.

L'écran trop grand, et pourquoi c'est arrivé

C'est mon erreur, et je la raconte en entier parce que le mécanisme qui l'a produite est plus intéressant que l'erreur elle-même.

Nous avons retenu un 55 pouces 4K de près de 25 kg, monté sur une paroi latérale, face à une table où l'on est assis à un peu plus d'un mètre. C'est beaucoup trop grand : à cette distance, on ne peut pas embrasser une mosaïque de vidéosurveillance du regard, on balaie l'image au lieu de la lire.

La vraie cause n'est pas un mauvais calcul. C'est qu'il n'y a pas eu de calcul du tout. Nous devions choisir dans un catalogue d'écrans standards validés par l'organisation, et nous avons pris ce qu'on prend d'habitude. Le réflexe est normalement le bon : du matériel déjà validé, déjà supporté, déjà négocié.

Le piège. Un catalogue standard n'est pas une liste de produits : c'est une série de décisions déjà prises par quelqu'un d'autre, pour un environnement donné. Celui-ci supposait un bureau : un mur en dur, trois à quatre mètres de recul, pas de vibration, une alimentation secteur permanente, et quelqu'un d'autre pour faire la pose. Aucune de ces quatre hypothèses n'était vraie dans un véhicule, et rien, dans le catalogue, ne vous signale que vous venez d'en sortir.

Toutes les données étaient sous nos yeux, puisque nous avions relevé la diagonale, l'encombrement et la masse. La seule grandeur qui manquait n'appartient pas au produit mais au lieu : la distance de vision. Personne ne l'a écrite, parce que dans un bureau elle va de soi.

L'erreur a coûté deux fois. Vingt-cinq kilos accrochés à une paroi soumise aux vibrations, cela suppose un renfort, une platine, une reprise d'efforts, donc du poids prélevé sur la charge utile comptée au kilo près. Deux écrans plus petits auraient mieux servi et pesé moins.

D'où la règle : avant d'ouvrir un catalogue standard, écrire la contrainte du lieu. Distance de vision maximale, donc diagonale maximale ; masse admissible sur la paroi, donc poids maximal. Si aucun article du catalogue ne les respecte, c'est l'information la plus utile de la phase de conception : on est sorti du domaine de validité du standard, et il faut assumer une dérogation plutôt que subir un défaut.

Les deux autres, plus lourdes que celle-là

Le bilan de puissance absent, déjà évoqué : une autonomie exprimée en heures que rien ne permettait de vérifier, donc jamais recettée, et l'arbitrage retombé sur l'utilisateur.

Et la documentation informatique qui n'a jamais existé. Nous avons documenté avec soin le groupe, le chauffage, la climatisation, les batteries, la signalisation. Sur l'informatique embarquée, il n'y a jamais eu de procédure de mise en route, d'ordre d'allumage, d'adresses, de conduite à tenir en cas de flux figé, ni de contact technique de référence. La chaîne fonctionnait, mais rien ne permettait à quelqu'un d'autre de la remettre en route. C'est la fragilité la plus sérieuse de l'ensemble : un réglage technique se corrige en une journée, alors que toute la connaissance tenait dans la tête de deux ou trois personnes.

L'intendance, le problème qu'on ne voit pas venir

Nous avions prévu un sanitaire : une toilette à cassette chimique, fixe, dans l'espace arrière. C'est la solution standard du véhicule de loisir, fiable, sans infrastructure, éprouvée.

Ce que nous n'avions pas prévu, c'est qui vide et nettoie la cassette.

Le nettoyage d'un véhicule est un marché banal ; la vidange d'une toilette chimique ne l'est pas. Ni nettoyage de bureaux, ni lavage automobile, ni entretien technique : une prestation spécifique qui n'entre dans aucune ligne de contrat existante. Nous n'avons jamais trouvé de prestataire. La charge est retombée sur les conducteurs, avec une servitude qu'aucune spécification n'avait envisagée : la cassette ne peut être vidée que sur les aires de service pour camping-cars.

Nous avons fini par embarquer la liste des aires dans le véhicule, sur papier. Le détail en dit long : l'information était en ligne, mais sur le terrain, la nuit, personne n'ouvre un intranet. Une information d'exploitation qui n'est pas physiquement à bord ne peut pas être tenue pour disponible.

Et cette liste n'a pas réglé le problème, elle l'a rendu visible. Ces aires ne nous appartiennent pas : recensées par des tiers, elles ouvrent et ferment sans prévenir. Certaines n'existaient plus, d'autres ne proposaient le service que contre paiement. Le fond du problème est structurel : comment prévoit-on où l'on ira, alors qu'on ne sait pas où le véhicule sera envoyé ? Une dépendance qu'on ne peut ni planifier, ni vérifier, ni maîtriser n'est pas une solution : c'est un problème reporté sur la personne qui sera là au mauvais moment.

L'histoire s'est terminée de la seule façon possible : le sanitaire a été démonté.

Ce qu'il faut en garder dépasse largement une toilette. Le choix d'un composant engage une filière d'entretien. Avant de le retenir, il faut pouvoir nommer qui le maintient, sous quel contrat, à quel coût récurrent, et s'il dépend d'une ressource extérieure, qui garantit que cette ressource sera là. Si la réponse est « on verra », c'est qu'il finira déposé. Celui-ci a coûté une découpe irréversible de carrosserie et une servitude permanente. Le coût d'acquisition n'est pas le coût.

Ce que l'exploitation nous a appris

Presque toutes les règles que nous avons fini par imposer aux utilisateurs sont nées d'un incident. Aucune n'avait été déduite de la conception.

La cinquième ligne est celle qui m'a le plus appris. Nous avons dû instaurer un briefing oral systématique à chaque remise de clés : autrement dit, nous avons reconnu par écrit que l'écrit ne suffisait pas. Ce n'est pas un aveu d'échec : c'est une donnée de conception. Sur un équipement partagé, utilisé rarement et par des personnes différentes à chaque fois, le transfert de compétence à la prise en main fait partie du système, au même titre que les batteries.

Nous avons aussi formalisé le contrôle mensuel dans une grille, qui transforme « vérifier chaque composant une fois par mois » en une liste que quelqu'un peut dérouler. La tentation, comme partout, est de la construire à partir d'un gabarit existant.

Le réflexe à prendre. Un tableur ou une présentation réutilisés emportent tout ce que contenait l'original : les autres onglets, les cellules masquées, les commentaires, et l'identité de l'auteur d'origine. Recycler un gabarit fait gagner dix minutes ; le vider complètement en coûte deux. Avant de diffuser un document dérivé, il faut ouvrir tous ses onglets et se demander ce qu'il dirait à quelqu'un qui n'aurait pas dû le recevoir. C'est l'un des vecteurs de fuite d'information les plus banals qui soient, et le plus facile à neutraliser.

Six ans après

Ce que j'emporte de ce chantier parle assez peu de matériel.

La masse est le vrai cahier des charges : sous 3,5 tonnes, places assises, habitabilité et équipement sont un seul budget. On conçoit pour l'agent qui sera là, pas pour celui qu'on aurait voulu, et quand une règle peut être câblée plutôt qu'écrite, elle n'a plus besoin d'être apprise, rappelée ni contrôlée.

Une exigence de performance sans protocole de recette n'en est pas une, et celle qui porte sa justification est la seule qu'on puisse retirer en connaissance de cause. « 72 heures d'autonomie » n'a jamais été mesurable ; la suspension pneumatique, seule du dossier à dire pourquoi elle existait, est celle qui a sauté.

Reste ce qui m'a le plus coûté, et c'est tout sauf technique. Un système qui enregistre est un traitement de données, pas un écran. Un composant engage une filière d'entretien, et si personne ne peut nommer qui l'entretiendra, il sera retiré. La configuration comme le transfert de compétence sont des livrables : ce qui n'est pas écrit disparaît avec la personne qui l'a monté, et c'est la seule fragilité qu'une journée de travail ne suffit pas à corriger.