On dessine une fois ce qui doit se passer, et cela arrive toujours, même la nuit

Une règle est une phrase : si un camion entre sur le quai hors horaire, préviens le chef d'équipe, marque l'enregistrement et ouvre un incident. Jusqu'ici, cette phrase devait s'écrire en code. Ici on la dessine : un bloc par morceau de phrase, reliés par des câbles. Il y a 74 blocs et 508 connecteurs, et chaque connecteur sait ce qu'il peut recevoir : relier deux choses incompatibles est donc impossible, et l'éditeur nomme les deux. Un bloc se met en sourdine, se contourne, se regroupe ou s'empaquette en entier pour être réutilisé ailleurs. Et si une valeur est impossible, il refuse d'enregistrer : il la pointe et la nomme.

Tout le monde ne veut pas d'une toile, alors il y a trois portes d'entrée. La première est la galerie de 23 recettes : intrusion en zone, comptage par ligne avec sens, affluence par plage horaire, lecture de plaque, personne sans équipement de protection, floutage des visages et des plaques. On en choisit une, on remplit entre deux et sept champs en dessinant sur la vidéo en direct, et cela tourne dès le premier jour, sans avoir rien construit. La deuxième, ce sont six questions — quoi, où, quand, combien, comment et alors — avec en haut une phrase qui s'écrit toute seule à mesure des réponses. La troisième, c'est la toile entière, sans limites, pour celui qui monte le site. Et l'essentiel : c'est la même automatisation, et elle change de niveau sans rien perdre. Toutes les recettes ne sont pas disponibles sur tous les serveurs ; quand l'une ne l'est pas, la galerie dit pourquoi.

L'horaire, c'est là qu'on voit si ceux qui ont fait ça ont déjà mis les pieds sur un site. On le déclare une fois, avec son nom et sa couleur, et on le réutilise sur toutes les caméras et tous les flux. Il accepte des plages, des jours de la semaine, des mois, des jours du mois, et le premier ou le dernier lundi de chaque mois — c'est exactement ainsi qu'on note les jours de maintenance. Et il accepte des repères solaires : une règle qui démarre trente minutes avant le crépuscule et s'arrête à l'aube travaille en janvier comme en juillet sans qu'on y revienne. Le même horaire de nuit posé sur des caméras de trois pays ouvre et ferme à l'heure locale de chacune, sans dupliquer les modèles. Les dates d'exception couvrent jours fériés, congés et arrêts d'usine. Et il y a un principe de sûreté qu'il faut dire tout haut : si l'horaire ne peut pas être évalué, rien ne se déclenche. Jamais au cas où.

Celui qui automatise quelque chose craint toujours la même chose : que ça parte tout seul à trois heures du matin et réveille la moitié des équipes. C'est pour ça qu'on teste avant. Le simulateur exécute le flux sur le dernier événement réel de la caméra et répond sans détour — mardi à 14 h 32, cela se serait bien déclenché, et voici les actions qui auraient tourné — mais il n'envoie aucune alerte. L'éditeur pose en plus un œil sur chaque câble : on clique et on voit ce qui en sort vraiment, avec l'image et le tableau de ce qui passe le filtre et de ce qui ne passe pas. Ensuite on peut publier en mode silencieux, le flux tournant et calculant sans exécuter la moindre action, pour valider sans déranger personne ; ou le mettre en pause une heure, quatre, un jour, ou jusqu'à la date de votre choix. À la publication, la confirmation indique sur combien de caméras cela va s'activer, et lesquelles. Et si un flux échoue plusieurs fois d'affilée, il s'éteint tout seul et laisse le motif par écrit.

Tout ce qui tourne est consigné, et pas seulement en cas d'échec. Chaque exécution garde quand elle a été déclenchée, quand elle a commencé, quand elle a fini, combien de temps elle a attendu en file, sur quelle caméra elle a tourné, si la condition était remplie, combien d'actions ont tourné et, si quelque chose a cassé, à quelle étape précise : la caméra, le modèle, la condition ou l'action. C'est là toute la différence avec un système qui ne dit que réussi ou échoué : il existe onze résultats possibles, et cinq d'entre eux sont des façons différentes de n'avoir rien fait — l'horaire était fermé, une autre exécution tournait déjà, le flux était arrêté, l'anti-rebond l'a écartée, ou une vérification préalable a échoué — plus un sixième quand le plafond par minute l'a freinée. Le panneau d'activité montre les vingt-quatre dernières heures avec le taux d'omissions et la liste des flux qui perdent des déclenchements, c'est-à-dire précisément la panne que personne ne voit. Et quand l'historique grossit et qu'il faut le nettoyer, la purge impose un aperçu : elle annonce combien d'exécutions, d'incidents et de mesures vont disparaître et combien d'espace sera libéré, et si ce qui existe à cet instant ne correspond pas à ce qu'elle a montré, elle refuse de supprimer.

Une automatisation publiée fait partie de l'exploitation, on la gouverne donc comme telle. Les droits de lecture et d'écriture sont séparés : sans droit d'écriture, l'éditeur s'ouvre en lecture seule, on voit le flux entier et on ne change rien. Un administrateur décide en outre quels blocs chaque rôle peut employer, et il y a là un détail précieux sur un grand site : un bloc verrouillé reste affiché en gris, pour qu'on sache qu'il existe et qu'on puisse le demander, et les automatisations déjà publiées qui l'utilisent ne cassent pas. Chaque version publiée est conservée, renommée, restaurée en brouillon et comparée à une autre : le comparateur montre sur le dessin lui-même ce qui a été ajouté, retiré et modifié, câbles compris. Et il n'y a aucun fichier de configuration à éditer en se connectant au serveur : tout se change depuis le navigateur, à chaud.