LA MARGE DU SILENCE
Lire le chapitre 24: LA LETTRE DE LANG
En 1975, Adrien reçut une lettre de Victor Lang.
L’enveloppe venait d’un établissement fédéral de Pennsylvanie.
Il la posa sur son bureau et décida de ne pas l’ouvrir.
Le soir, Madeleine la vit.
« Tu vas la lire. »
« Non. »
« Alors tu vas passer trois jours à imaginer ce qu’elle contient et je vais devoir vivre avec un homme qui répond à une lettre fermée. Ouvre-la. »
Adrien obéit.
L’écriture de Lang était régulière.
Delmas,
Vous avez gagné. J’imagine que cela vous satisfait.
Adrien faillit arrêter.
La lettre continuait.
J’ai eu beaucoup de temps pour réfléchir aux mots employés au procès : fraude, dissimulation, falsification. Ils sont juridiquement justes. Ils décrivent mal la manière dont nous pensions agir.
Nous pensions séparer le signal du bruit.
Le calendrier était un signal. Les avancées soviétiques étaient un signal. Les votes du Congrès étaient un signal. La survie d’Helios était un signal. Une coupure de relais de quelques millisecondes, observée sur un banc discutable, ressemblait à du bruit.
Notre erreur ne fut pas l’ambition. Elle fut la classification.
Vous avez traité l’anomalie comme un signal parce que vous n’aviez pas la responsabilité du programme entier. Je l’ai traitée comme du bruit parce que j’avais trop de responsabilité sur le programme entier.
Je ne suis toujours pas d’accord avec vous sur tout.
Mais je comprends aujourd’hui qu’un dirigeant capable de décider ce qui est du bruit peut faire disparaître n’importe quel échec.
Frank Murphy est venu dans mon bureau trois jours avant sa mort. Il m’a accusé de fabriquer une preuve. Je l’ai menacé de licenciement. Je ne l’ai pas menacé physiquement et je n’ai provoqué aucun sabotage de la bouteille d’azote.
Il avait raison sur le relais.
Cette dernière phrase m’a coûté plus que le reste.
V. Lang
Madeleine avait lu par-dessus l’épaule d’Adrien.
« Il s’excuse sans utiliser le mot. »
« C’est une compétence de direction. »
« Tu vas répondre ? »
« Je ne sais pas. »
Pendant plusieurs semaines, Adrien pensa à la lettre.
Il était gêné par une chose : Lang avait raison sur un point important.
Un ingénieur de composant n’avait pas la responsabilité du programme entier.
Quelqu’un devait arbitrer des risques qui dépassaient la technique : budget, calendrier, soutien politique, emploi, concurrence internationale. Ces risques étaient réels.
Adrien ne voulait pas transformer l’éthique technique en doctrine selon laquelle tout problème exigeait toujours le maximum de sécurité au détriment de tout le reste.
Un véhicule spatial ne pouvait jamais être absolument sûr.
La question était donc : où Lang avait-il franchi la limite ?
Il en parla avec Madeleine.
« Il devait choisir », dit Adrien. « Quelqu’un devait choisir. »
« Alors ce n’est pas le choix qui te gêne. »
« Non. »
« C’est quoi ? »
Adrien resta silencieux.
Puis il comprit.
« Il a choisi ce que les autres avaient le droit de savoir avant de choisir. »
Madeleine hocha la tête.
« Voilà. »
Adrien écrivit enfin une réponse.
Monsieur Lang,
Je n’ai jamais cru que l’ambition était le problème.
Vous dites que je ne portais pas la responsabilité du programme entier. C’est vrai. Mais personne ne la portait réellement seul. Apollo existait parce que chacun possédait une partie de la vérité et faisait confiance aux autres pour transmettre la leur.
Vous aviez le droit de proposer qu’un risque soit accepté.
Vous n’aviez pas le droit de modifier les éléments à partir desquels ce risque devait être jugé.
Frank avait raison sur le relais. Vous aviez raison sur la nécessité de prendre des risques. Les deux choses peuvent être vraies.
La Lune n’exigeait pas que nous nous mentions à nous-mêmes.
A. Delmas
Il ne reçut jamais de seconde lettre.
Des années plus tard, Adrien réutiliserait l’idée dans un manuel européen de sécurité systèmes, sans mentionner Lang :
L’autorité peut accepter un risque. Elle ne doit pas fabriquer les preuves qui rendent ce risque acceptable.
Lors de ses conférences, Adrien montrait parfois un troisième document après les deux courbes de l’essai vibratoire.
Il s’agissait du tableau de management qui classait le risque technique en jaune et l’impact contractuel en rouge.
« Voici pourquoi les organisations ne prennent pas toujours la décision techniquement évidente », expliquait-il.
Les étudiants voyaient alors que la falsification n’avait pas émergé dans un vide moral. Elle s’était développée dans un système où une panne officielle déclenchait immédiatement des conséquences financières mesurables, tandis que le risque de la panne elle-même restait probabiliste.
Un étudiant demanda :
« Donc les contrats étaient responsables ? »
« Non. Les contrats n’écrivent pas les rapports. »
« Alors Lang ? »
« Responsable, oui. Cause unique, non. »
Adrien refusait les explications qui remplaçaient un mécanisme par un nom.
Dans une analyse de panne, identifier le composant brûlé ne suffisait pas si une surtension l’avait détruit.
Dans une organisation, condamner un dirigeant ne suffisait pas si les incitations rendaient probable qu’un autre dirigeant reproduise le même choix.
« La responsabilité individuelle et la cause systémique ne s’annulent pas », disait-il. « Elles se superposent. »
Cette idée déplaisait à ceux qui préféraient soit punir une personne, soit excuser tout le monde au nom du système.
Adrien considérait les deux positions comme paresseuses.
Adrien aimait demander aux étudiants quel était le plus grand composant d’un véhicule spatial.
Les réponses variaient : réservoir, moteur, structure, ordinateur.
« L’information », disait-il finalement. « Elle touche tout. »
Un étudiant objecta un jour que l’information n’avait pas de masse.
« Exactement. C’est pour cela qu’on l’oublie dans le bilan. »
Adrien expliqua qu’une dimension fausse pouvait déformer une pièce avant l’usinage, qu’une température mal enregistrée pouvait rendre une isolation insuffisante, qu’un résultat d’essai falsifié pouvait transformer un défaut en configuration certifiée.
Le matériel était la forme finale prise par une immense machine informationnelle.
Plans, exigences, tolérances, hypothèses, logiciels, rapports, dérogations, procédures.
L’intégrité du véhicule dépendait de l’intégrité de cette seconde machine.
« On parle souvent de culture sécurité comme d’une valeur abstraite », disait Adrien. « Je préfère la considérer comme une architecture de circulation des mauvaises nouvelles. »
Cette formulation plaisait aux étudiants parce qu’elle transformait la morale en problème de conception.
Adrien la trouvait utile pour la même raison.
Une valeur pouvait être affichée sur un mur.
Une architecture devait fonctionner quand quelqu’un avait quelque chose à perdre.
Continuer gratuitement
Débloquer ce chapitre
Regardez une courte publicité pour débloquer ce chapitre.
Aucun paiement requis.