Un opérateur de défense ou d’aérospatiale manque rarement des données pour répondre à sa propre question. Il lui manque un modèle de son propre monde auquel les systèmes souscrivent, et un chemin de la question à l’action qui résiste à ce qu’on l’interroge un an plus tard. Voici comment nous en construisons un.

Ce que coûte une seule question de disponibilité

Quelles cellules peuvent voler ce soir, et si cela ne suffit pas, quel est le changement le moins coûteux à opérer avant l’aube. Y répondre suppose de réconcilier les comptes rendus de maintenance et les reports, la position d’approvisionnement de chaque pièce qu’ils nomment, et la qualification courante des équipages dans un système de personnel qui n’a jamais parlé à celui de la maintenance.

Six systèmes, quatre propriétaires, une échéance. Quelqu’un exporte un tableur, quelqu’un le ressaisit, et la planche arrive après la fenêtre qu’elle devait éclairer. Un mois plus tard, personne ne peut dire quels enregistrements ont produit le chiffre, alors le désaccord se tranche à l’ancienneté.

Pourquoi un agent devine ici

Lâchez un modèle performant sur ces tables et il répond avec aisance, sans que vous puissiez voir quand il se trompe. Le sens d’une flotte n’est pas dans le schéma. Aucune colonne ne dit qu’un défaut reporté au-delà de son échéance cloue l’appareil au sol, qu’une pièce prélevée sur une cellule lui reste due, ou que le chemin de l’article sérialisé à la position d’installation, puis à la cellule, puis à la sortie, est la jointure que le contrôleur maintenance reconstruit à la main chaque matin. Il infère donc la jointure, et une jointure fausse mais plausible, servie dans une prose fluide, vaut moins que pas de réponse du tout.

Ce que nous déclarons, dans l’ordre

Partir d’une décision, jamais d’un système source : la nommer, nommer son propriétaire, et dire à quoi ressemble son annulation. C’est ce qui indique quelles quarante colonnes, sur quatre mille, comptent.

Puis les objets qu’elle nomme : cellule, ordre de travail, défaut, article sérialisé, sortie, qualification d’équipage. Dix ou douze, pas deux cents. Chaque propriété se lie à une table et une colonne réelles dans un système de référence, si bien que le modèle est réfutable plutôt qu’incantatoire. Viennent ensuite les liens : les jointures que personne ne devrait redériver, et précisément ce qu’un modèle ne doit pas inventer. Puis les finalités, car la raison pour laquelle quelqu’un regarde gouverne l’accès ici, pas son intitulé de poste. Chaque finalité est un rôle de base de données avec des droits au niveau colonne, si bien qu’une lecture hors de son périmètre reçoit un refus de la base de données, pas un refus poli. Les actions en dernier : une écriture sûre doit savoir qui demande, et au titre de quelle autorité.

Ce que l’agent peut faire ensuite

Muni de ce modèle, l’agent cesse de deviner. Il lit le dossier de maintenance, la position d’approvisionnement et la qualification courante des équipages là où ils se trouvent, sous la finalité au titre de laquelle il agit, dans le vocabulaire de la ligne de vol plutôt qu’en noms de tables. C’est la différence entre une IA qui rédige du texte et une IA qui porte une décision : une question à travers six systèmes, résolue le long de liens déclarés, avec l’action qui suit déjà formée. À titre d’illustration et rien de plus : le transfert d’un article sérialisé hors du pipeline de dépôt parvient au chef de l’approvisionnement sous la forme d’une action paramétrée avec un diff, non d’une suggestion.

Rien ne bouge avant approbation

L’écriture ne s’exécute jamais en ligne. Elle persiste comme approbation en attente, montre un diff à blanc de ce qui va changer, et patiente jusqu’à ce qu’une personne la valide ou l’écarte. Là où l’opérateur n’a pas le droit d’écrire dans le système de référence, et une bonne part du registre de maintien en condition opérationnelle d’une plateforme moderne est sous contrôle industriel, la sortie est une proposition qu’un humain porte de l’autre côté.

La piste d’audit est en ajout seul, hachée par la base de données plutôt que par l’appelant, et ancrée par défaut. Le rejeu est le contrôle qui compte dans une enquête : rouvrir une décision enregistrée la redérive sous les permissions du jour sans aucun appel au modèle, ce qui sépare « la réponse a changé » de « la réponse a toujours été fausse ».

Énoncez les limites tôt, puisqu’une équipe d’homologation les trouve de toute façon : ce n’est pas l’outil à l’intérieur d’une boucle d’asservissement, ce n’est pas une preuve de certification, et cela ne répare rien à un enregistrement déjà faux. Nommez la décision, modélisez le plus petit monde qui y réponde, liez chaque champ à une colonne réelle. Chaque étape force une conversation avec quelqu’un qui possède quelque chose, et ce sont exactement les conversations qu’un projet d’entrepôt existe pour éviter.