Les annonces de recrutement des lieux immersifs décrivent minutieusement le son multizone, le DMX, les caméras, les automates. Elles ne disent presque jamais qui, pendant une séance, voit l'état réel du système, ni sur quoi. Argus est cet écran-là : un plan d'exploitation qui montre où sont les visiteurs et ce que fait la machine, en local sur votre réseau, grâce à un écran.
Le nom vient d'Argus Panoptès, le géant aux cent yeux dont la moitié veille pendant que l'autre dort. C'est une bonne description d'un poste de contrôle : il ne s'agit pas de tout voir en même temps, il s'agit de n'avoir jamais les yeux tous fermés.
Essayer la démonstration
Le spécimen est jouable, tout de suite, dans le navigateur. Il s'ouvre avec un code que nous communiquons sur demande, et tourne sur un lieu inventé : aucune donnée réelle derrière, et rien n'en sort.
Ceci est un service en cours de développement, pas un logiciel en rayon. Ce que vous voyez ici tourne sur un lieu inventé, « Le dernier Opéra », un parcours d'après Le Fantôme de l'Opéra. Une tour de contrôle n'a de valeur que si elle décrit vos espaces, vos machines et votre cadencement : la mise en service commence donc toujours par une visite et un relevé avec l'équipe. Le détail est plus bas : un service sur mesure.
La supervision centralisée
Avant l'ouverture, on sait quoi vérifier : il existe une procédure, et si elle est bien tenue elle est écrite. Après un incident, on sait quoi faire : on appelle, on répare, on consigne. Entre les deux, pendant que le public traverse, l'information se disperse : un opérateur en régie son, un autre au départ, un troisième qui a entendu quelque chose à la radio. Personne ne dispose de l'image d'ensemble, et surtout personne ne voit venir l'étape suivante.
Un opérateur à la tour de contrôle voit une file trop importante se créer : la file est le symptôme, elle apparaît dix à quinze minutes après la cause du retard. Ce qu'il lui fallait, c'est la cause au moment où elle est apparue, et il en a les moyens : accélération subtile du show, et avancement plus rapide de l'équipe précédente dans les salles.
Voir le goulot avant la file
Le lieu de démonstration est un parcours immersif d'après Le Fantôme de l'Opéra, installé dans un opéra désaffecté et ses dessous inondés : la loge nº 5, un sas, une descente en ascenseur, la galerie et son lustre, un escalier qui mène au quai, la traversée du lac en barque entre les colonnes, l'antre et son orgue, la remontée. Treize salles, et un fonctionnement qui n'est pas celui d'un flux.
La salle vide entre deux groupes n'est pas une perte de place, c'est un élément du spectacle : sans elle, un groupe entend le show du précédent. C'est aussi pourquoi Argus n'affiche aucun taux de remplissage global : chaque salle dit qui l'occupe, mais rien ne note le parcours, ce qui ferait lire cet espacement comme du gâchis.
On y avance par groupes de six, une salle par groupe, avec une salle vide entre deux groupes : c'est ce qui garantit qu'un groupe n'entende jamais le show du précédent. Techniquement, c'est un fonctionnement par cantons : un groupe n'avance que si la salle suivante est prête et que la salle d'après est libre. Trois groupes au maximum sont engagés en même temps.
Et il n'y a qu'une seule barque. Ce n'est pas une flotte réduite à une unité, c'est un régime différent : son cycle, embarquement, traversée, débarquement, retour à vide, impose à lui seul la cadence de tout le parcours. Six personnes toutes les neuf minutes, et rien ne peut aller plus vite.
C'est là qu'un écran sert à quelque chose. Si la traversée s'allonge de trois minutes, la barque rend moins que ce qu'on lui envoie : rien ne se voit, tout va bien, et la file naîtra dix minutes plus tard à l'embarcadère. Argus ne dit pas « embarcadère plein », il dit que le cycle est dégradé pendant qu'il est encore temps. Et la décision qu'il appelle n'est pas de réparer la barque, mais d'espacer les départs, ce qui se fait en une touche.
Intervalle entre deux départs
La barque ne change pas de rythme : son cycle est ce qu'il est. Le seul réglage est l'intervalle entre deux départs, et c'est ce qui rend la décision contre-intuitive : pour que le parcours aille mieux, il faut y faire entrer moins de monde.
Vert ne veut pas dire « ça va ». Vert veut dire « je sais que ça va »
C'est la distinction que presque tous les tableaux de bord ratent, et elle coûte cher. L'opérateur regarde un écran vert, il est rassuré, et il a tort : la collecte s'est arrêtée dix minutes plus tôt, et rien à l'écran ne lui donne de raison de s'en douter.
Le pire écran n'est pas celui qui affiche une alarme. C'est celui qui est vert parce qu'il ne reçoit plus rien.
Argus a donc quatre états, pas trois.
| État | Ce qu'il dit |
|---|---|
| Nominal | La donnée est fraîche, et elle est dans les clous. |
| Attention | La donnée est fraîche, et elle sort des clous. |
| Critique | La donnée est fraîche, et elle impose une action. |
| Inconnu | Je n'ai pas la donnée. Ni bon, ni mauvais : absent. Aucune valeur ancienne n'est affichée comme si elle était actuelle. |
Coupez la source. Rien ne devient rouge, et surtout rien ne reste vert : tout passe en « inconnu », et les valeurs disparaissent au lieu de rester affichées comme si elles étaient encore vraies.
L'âge des données est affiché en permanence, et au-delà du délai admis tout bascule en « inconnu ». Cela paraît austère jusqu'au jour où l'automate se tait : l'écran dit alors « je ne sais pas » au lieu de mentir avec assurance.
Ce qu'une salle a le droit de dire
Chaque salle n'affiche qu'une phrase, et toujours la même formulation, parce qu'un opérateur ne lit pas un écran, il le reconnaît :
| « Aucune présence détectée » | La salle est vide et au repos. |
| « Réinitialisation du show. Show prêt dans 23 secondes. » | Le groupe est sorti, le show se rembobine. La salle n'est pas encore disponible, et on sait quand elle le sera. |
| « Standby - ready » | Armée. Elle attend le groupe suivant. |
| « Show en cours, 6 personnes » | Un groupe est dedans. |
Ce qui se passe dans la salle
Ce que l'écran affiche, à la seconde
Faites sortir le groupe, puis attendez. Le décompte n'est pas décoratif : tant qu'il tourne, la salle ne peut pas prendre le groupe suivant, et c'est l'information dont l'opérateur a besoin pour décider s'il envoie ou s'il retient.
Le lac ajoute une condition qui ne lui appartient pas : il n'est jamais « ready » tant que la barque n'est pas à quai, et il annonce alors le temps qu'il reste avant qu'elle y soit. C'est le seul endroit où l'état d'une salle dépend d'un véhicule, et c'est précisément ce qui distingue un parcours à véhicule unique de tous les autres.
Une alarme qui crie au loup tue toutes les autres
Le taux de fausses alarmes est le premier paramètre de conception, avant l'esthétique et avant les fonctionnalités. Trois alarmes injustifiées dans une séance et l'opérateur acquitte en réflexe, sans lire. L'outil devient alors pire que rien, parce qu'il donne le sentiment d'une vigilance qui n'existe plus.
Trois règles en découlent, et elles sont tenues : une alarme suppose une action possible, sinon c'est une information et elle ne sonne pas ; le seuil de retour n'est pas le seuil de déclenchement, sinon une valeur qui oscille produit une alarme par oscillation ; et une condition doit tenir plusieurs secondes avant de sonner. Le journal est sur fond clair, à part du plan : on ne lit pas une liste d'événements comme on surveille un synoptique.
La sécurité n'est pas dans cet écran
C'est le point sur lequel nous ne transigeons pas, et il vaut mieux le lire ici que le découvrir en réunion. Argus ne porte aucun arrêt d'urgence, aucun enclenchement, aucune fonction dont la défaillance engagerait la sécurité des personnes. L'automate de sécurité reste maître ; Argus lit, affiche, et commande uniquement ce qui n'engage rien : démarrer un effet, l'arrêter, acquitter, changer un mode de show.
Ce n'est pas une limite subie, c'est ce qui rend l'ensemble possible. Un écran de supervision qui ne touche pas à la chaîne de sécurité tourne sur un serveur Ubuntu ordinaire, sans certification, et se met à jour un mardi matin sans que personne ne retienne son souffle. Un logiciel qui entre dans cette chaîne change de métier, de coût et de rythme, et il perd la capacité d'évoluer, qui est précisément ce qu'on attend d'un outil de supervision.
On le voit à l'écran : les états de sécurité, comme l'inhibition de détection incendie que réclame la brume lourde, sont encadrés à part et marqués lecture seule. Un scénario de la démonstration montre cette inhibition restée active alors que la brume est coupée : Argus la signale, et ne peut rien faire d'autre que la signaler. C'est là qu'il faut le SSI. Un opérateur doit savoir en un regard ce qu'il ne peut pas faire.
Le tapis anti-intrusion qui ceinture le bassin obéit à la même logique, et c'est l'exemple le plus parlant : il est câblé sur la chaîne de sécurité, pas sur Argus. Quand quelqu'un pose le pied là où il ne faut pas, la barque s'arrête toute seule. Argus affiche « déclenché », dit où, horodate, et ne peut rien commander. C'est exactement ce qu'on attend d'un écran de supervision : qu'il rende un événement lisible sans jamais s'interposer entre le capteur et l'organe de coupure.
Pour les commandes qui engagent, un pupitre physique reste la bonne réponse, et nous le proposons en option clairement séparée. Un bouton se trouve à l'aveugle, dans le noir, sous stress, et il ne dépend pas d'un navigateur qui a gelé.
Essayer la démonstration
Sept scénarios se déclenchent à la main : cycle de barque allongé, barque immobilisée, intrusion au bassin, porte lente, brume coupée, source perdue, incident bloquant. L'horloge s'accélère pour voir une séance entière en deux minutes.
Les caméras sont sur l'autre écran
Argus n'affiche aucun flux vidéo, et c'est délibéré. Un plan d'exploitation montre l'état à deux dixièmes de seconde près ; une image vidéo acheminée jusqu'à un navigateur accuse deux à dix secondes de retard. Les poser côte à côte reviendrait à présenter deux instants différents comme s'ils étaient le même, au moment précis où quelqu'un décide.
Séparer les écrans revient surtout à séparer les technologies, et c'est là que le retard disparaît : un mur vidéo natif tient deux à trois dixièmes de seconde. Argus se contente donc de dire quelle caméra regarder, sur le plan et sur chaque alarme. Le système de vidéosurveillance déjà installé est conservé, avec ses droits d'accès et sa durée de conservation.
Le même écran, à trois mètres ou à six
Rien n'est dimensionné en pixels, tout l'est en proportion de l'écran. La même page tient sur un portable de treize pouces comme sur un écran de monitoring de soixante-cinq, sans qu'on ait rien à redessiner. Ce que vous voyez pendant la démonstration est donc exactement ce que vous aurez sur le mur, à la taille près : pas de mauvaise surprise le jour de l'installation.
Reste qu'on ne lit pas un écran de la même façon selon l'endroit où l'on se tient. Une touche bascule entre deux réglages. « Régie » est l'instrument de travail : dense, chiffré, fait pour être lu à deux ou trois mètres par quelqu'un qui connaît le parcours. « Salle » vise six mètres et l'équipe entière ; il n'agrandit pas seulement les caractères, il en retire. Les cycles de portes, les états de sous-systèmes, tout le détail technique s'efface, et il ne reste que ce sur quoi on peut décider.
L'écran doit aussi rester lisible sans couleur, et ce n'est pas une précaution de principe. Un homme sur douze distingue mal le vert du rouge. Et le vert et l'ambre que nous employons ont presque la même luminosité : pour ces personnes-là, comme sur un écran en noir et blanc, les deux deviennent le même point gris.
Chaque état porte donc une forme en plus de sa couleur : disque plein pour le nominal, triangle pour l'attention, losange pour le critique, cercle vide pour l'inconnu. La couleur accélère la lecture, la forme la garantit. Nous le vérifions en repassant l'écran en niveaux de gris : si l'information y survit, c'est qu'elle ne dépendait pas de la couleur.
Argus et Carbone, pendant et autour
Un incident vu à l'écran doit finir dans le registre, sinon il se raconte de mémoire trois heures plus tard, avec une heure approximative et une cause reconstituée. Une touche envoie l'incident vers CARBONE, notre registre d'exploitation, déjà rempli de l'heure exacte, de la zone et de l'état du système au moment des faits.
Les deux outils se répondent : Carbone tient l'ouverture, la déclaration et la fermeture, Argus tient le pendant. C'est la même journée, vue par ses deux moitiés.
Ce que ça change
Un exploitant qui voit son goulot dix minutes avant sa file agit sur le cadencement au lieu de subir l'attente.
Une équipe qui regarde le même écran se coordonne sans réunion et sans radio.
Il part au registre avec son heure exacte et l'état du système au moment des faits.
Une régie qui affiche « je ne sais pas » quand elle ne sait pas est une régie à laquelle on peut se fier le reste du temps.
Nous n'affichons volontairement rien sur les personnes : pas de temps de réaction par opérateur, pas de classement, pas de compteur nominatif. La raison n'est pas morale mais opérationnelle : un outil qui surveille l'équipe cesse très vite d'être utilisé honnêtement par elle, et les incidents cessent d'être déclarés. On perd la donnée qu'on cherchait à obtenir. Côté public, les caméras servent à voir un incident, pas à mesurer les visiteurs.
Un service sur mesure, pas un logiciel sur étagère
Une tour de contrôle décrit un lieu précis. Les zones, les capacités, les cadencements, les effets et les sous-systèmes d'Argus sont de la configuration, pas du code : le plan est un dessin vectoriel de votre parcours, et chaque espace y est relié à ce qu'il faut en savoir. C'est ce qui permet d'installer le même moteur sur deux lieux qui n'ont rien en commun.
La mise en service commence donc par une visite, un relevé des flux et une question que nous posons toujours avant de nous engager : qu'est-ce qui pilote les effets aujourd'hui, et qu'est-ce qui coupe tout en cas de problème ? S'il existe une chaîne d'arrêt, nous posons la supervision par-dessus. S'il n'en existe pas, ce n'est plus le même métier ni le même budget, et il vaut mieux le dire au début.
Sous le capot
Serveur local sous Ubuntu, une seule sortie vidéo vers un écran de monitoring. Pas de cloud, pas de compte à créer, aucune donnée qui sort du site. Lecture de l'automate en Modbus TCP ou OPC-UA, entrées OSC pour le show control, et un simulateur qui est un connecteur comme les autres : la démonstration et l'installation font tourner le même moteur.
Côté écran, un moniteur LCD de 65 pouces en 4K convient jusqu'à quatre mètres de distance de lecture ; au-delà il en faut une plus grande. Jamais d'OLED, qui se marque en quelques mois sur une image aussi statique. Pas de vidéoprojection non plus : un synoptique est noir à quatre-vingt-dix pour cent, et la projection remonte les noirs au gris, ce qui affaiblit précisément le rouge d'alarme.
La démonstration que vous pouvez ouvrir plus haut est un seul fichier, sans serveur ni dépendance externe, dont l'aléa est reproductible : elle raconte la même histoire à chaque rendez-vous.
Parlons de votre lieu
Le plus simple est de nous montrer le parcours et de nous dire où ça coince aujourd'hui. La visite et le relevé de flux sont le vrai point de départ.