Le prix de la perfection : ce que les cinq neuf coûtent à celles et ceux qui les rendent possibles

J’ai vu des ingénieurs pleurer dans des salles de serveurs. Pas à cause de la chaleur, même s’il y avait aussi cela, mais sous le poids de savoir que trente mille personnes ne pouvaient pas traiter des paiements à cause d’une décision prise des années auparavant, qui n’avait été consignée nulle part et qu’eux seuls avaient reconstituée à deux heures du matin.

Voilà l’économie dont on ne parle pas derrière les cinq neuf : un taux de disponibilité de 99,999 % n’autorise que 5,26 minutes d’indisponibilité par an. Nous y voyons une exigence technique. C’est plutôt un contrat psychologique écrit avec du sang et une dette de sommeil.

Les mathématiques nous séduisent. Cinq neuf évoquent la pureté, la maîtrise de l’entropie elle-même. Ce que nous calculons rarement, c’est la capacité de travail humain nécessaire pour les maintenir. Chaque minute de cette indisponibilité autorisée devient un budget à défendre, un seuil qui déclenche des chaînes d’escalade, des cellules de crise, des analyses après incident en présence de la direction. On ne laisse jamais le système tomber en panne de manière maîtrisée, puisque la panne a été exclue par définition.

J’ai passé des années dans ce monde. Je connais la sensation physique : la montée de cortisol lorsque votre téléphone vibre d’une manière précise, le regard involontaire jeté aux tableaux de bord avant même d’être tout à fait réveillé, le calcul pour savoir si vous avez assez de réserves cognitives pour rentrer chez vous en voiture sans danger après un incident de quatorze heures. Nous avons normalisé cela. Nous avons appelé cela « responsabilité ». Nous lui avons donné des noms héroïques, « lutte contre les incendies », « cellules de crise », « mobilisation générale », qui masquaient ce dont il s’agissait réellement : une défaillance structurelle rendue soutenable au prix du sacrifice humain.

Les pannes de 2024-2025 ont changé quelque chose. Quand une mise à jour de CrowdStrike a mis hors service des millions de machines Windows, quand de grands fournisseurs de services d’informatique en nuage ont connu des défaillances en cascade, l’infrastructure est brièvement devenue visible pour des personnes qui ne s’étaient jamais demandé où résidaient leurs applications. La couverture médiatique s’est concentrée sur les causes techniques à l’origine des pannes : mises à jour défectueuses, erreurs de configuration, tests insuffisants. Ce qui n’a pas été examiné, c’est l’état des personnes qui maintenaient ces systèmes en état de marche à force d’expertise et d’épuisement.

Je veux examiner cet état directement.

L’ingénierie de la fiabilité a développé des capacités techniques extraordinaires. Nous pouvons effectuer des déploiements sans interruption de service, répliquer des données sur plusieurs continents, rétablir automatiquement des instances défaillantes. Mais nos pratiques organisationnelles restent primitives. Nous organisons les rotations d’astreinte comme si la vigilance humaine suivait des cycles prévisibles. Nous mesurons le « temps moyen de rétablissement » sans suivre le « temps moyen de récupération après le rétablissement », ces jours où les capacités sont diminuées, ces relations mises à l’épreuve, ces conséquences différées sur la santé.

La culture de la disponibilité permanente produit une déformation particulière. Les ingénieurs apprennent à se méfier du repos. Les vacances deviennent une source d’anxiété ; les dispositions prises pour assurer le relais sont vécues comme des échecs personnels. J’ai vu des personnes talentueuses quitter complètement le secteur, non parce qu’elles manquaient de compétences, mais parce qu’elles ne pouvaient plus supporter les conséquences physiologiques d’une hypervigilance prolongée. Ce n’est pas un problème de vivier de talents. C’est une crise de santé au travail que nous avons choisi de ne pas nommer.

Que signifierait concevoir des systèmes en prenant la fiabilité humaine aussi au sérieux que celle des systèmes ?

Nous commencerions par un bilan honnête. Cinq neuf obtenus grâce aux efforts héroïques d’individus ne sont pas équivalents à cinq neuf obtenus grâce à une architecture résiliente. Dans le premier cas, c’est une dette ; dans le second, un actif. Nous ferions la distinction entre « le système est tombé en panne » et « le système est tombé en panne d’une manière pour laquelle nous avons choisi de ne pas prévoir de rétablissement sans intervention humaine à des heures incompatibles avec une vie sociale ». Nous mesurerions la charge opérationnelle non pas en nombre de tickets clos, mais selon une charge cognitive soutenable, répartie au sein d’une équipe.

Plus radicalement, nous nous demanderions si les cinq neuf sont toujours appropriés. Tous les systèmes ne sont pas au service de stimulateurs cardiaques. Le coût de la perfection devrait être mis en balance avec celui de l’imperfection, et ce calcul devrait inclure le coût humain dans son ensemble, pas seulement les salaires et le renouvellement du personnel, mais aussi l’érosion des capacités, de la créativité et de l’attention aux autres qui accompagne le stress chronique.

Je ne plaide pas pour la négligence. Je plaide pour la mesure. Les meilleurs ingénieurs en fiabilité que je connaisse ne sont pas ceux qui répondent le plus vite aux alertes. Ce sont ceux qui conçoivent des systèmes qui ont rarement besoin qu’ils y répondent. Cela exige de la patience de la part des organisations : investir dans l’automatisation, dans la documentation, dans des choix d’architecture qui donnent la priorité à la capacité de rétablissement plutôt qu’à la prévention. Cela exige d’accepter que certaines pannes sont acceptables, qu’une dégradation maîtrisée est souvent préférable à une maintenance héroïque.

Les pannes de 2024-2025 n’étaient pas seulement des défaillances techniques. Elles étaient des défaillances de l’imagination, notre incapacité collective à imaginer que les systèmes pourraient être exploités autrement, que les personnes qui y travaillent méritaient d’être protégées de la perfection que nous exigions d’elles.

Nous construisons des infrastructures pour répondre aux besoins humains. Lorsque l’infrastructure consume les êtres humains qui la maintiennent, nous avons inversé notre raison d’être. La prochaine frontière de l’ingénierie de la fiabilité n’est pas un neuf de plus. C’est la reconnaissance du fait que des systèmes durables exigent des personnes capables de les exploiter durablement, et que cette durabilité est elle-même un problème d’ingénierie qui mérite toute notre attention.

Il m’arrive encore de me réveiller à trois heures du matin et de tendre la main vers un téléphone sur lequel l’application de téléavertissement n’est plus installée. Le corps se souvient. La question est de savoir si nous laisserons cela continuer à arriver aux personnes qui viendront après nous.