Systèmes

La marge de sécurité et la redondance

Un ascenseur prévu pour huit personnes ne tombe pas si l'on y entre à neuf. Ses câbles ont été calculés pour supporter beaucoup plus que la charge annoncée, parce que les ingénieurs savent que leurs calculs et leurs matériaux peuvent les surprendre. Cette fiche explique ce principe, la marge de sécurité, et son complément, la redondance, puis la façon de les transposer à l'argent et au temps.

L'idée en bref

La marge de sécurité est l'écart volontaire entre ce qu'un système peut supporter et ce qu'on lui demandera en principe. Elle sert à absorber ce que l'on n'a pas prévu : une erreur de calcul, un défaut caché ou un usage anormal. La redondance poursuit le même but par un autre moyen. Elle consiste à doubler un élément indispensable pour que la panne de l'un ne soit pas la panne de l'ensemble.

Le principe est aussi ancien que l'art de construire. Les ingénieurs l'expriment par un coefficient de sécurité : le rapport entre la charge qui provoquerait la rupture et la charge maximale prévue en service. L'investisseur américain Benjamin Graham l'a transposé à la finance, d'abord dans Security Analysis (1934, avec David Dodd), puis dans The Intelligent Investor (1949), dont l'édition révisée s'achève sur un chapitre qui présente la « marge de sécurité » comme l'idée centrale de l'investissement. Pour Graham, elle consiste à n'acheter un titre que nettement en dessous de la valeur qu'on lui estime, pour ne pas dépendre de l'exactitude de cette estimation.

En ingénierie, il s'agit d'une pratique éprouvée et codifiée par des normes. Ailleurs, c'est une règle de prudence, dont la logique est solide mais dont le bon niveau ne se calcule pas.

Le raisonnement de l'ingénieur

La marge de sécurité répond à l'ignorance, c'est-à-dire à ce que le calcul ne contient pas, puisque les risques connus et chiffrés y figurent déjà. C'est pourquoi elle doit être d'autant plus large que l'on connaît mal la situation et que l'échec serait grave. On prend ainsi plus de marge pour un câble d'ascenseur que pour une étagère.

La redondance complète la marge. Un avion de ligne possède plusieurs moteurs et plusieurs circuits de commande, et il est conçu pour continuer à voler si l'un d'eux tombe en panne. Si chacune de deux sauvegardes informatiques a 1 chance sur 100 d'être illisible le jour où vous en avez besoin, et si ces deux défaillances sont indépendantes, la probabilité de les perdre toutes les deux est de 0,01 × 0,01, soit 1 sur 10 000.

La marge dans la vie courante

Le même raisonnement vaut pour l'argent. L'épargne de précaution, que l'on conseille couramment de fixer à quelques mois de dépenses, ne rapporte presque rien. Elle a pour fonction d'éviter qu'une panne de voiture ou un mois sans revenu n'oblige à emprunter cher ou à vendre au mauvais moment. Pour un élève, la marge consiste à finir un devoir la veille de la date limite plutôt que le matin même, et à réviser une leçon un peu au-delà du moment où il la sait tout juste : un savoir à peine acquis ne résiste pas au trac de l'examen.

La redondance a aussi ses formes quotidiennes, comme un double des clés chez un voisin ou une copie des documents importants dans un autre lieu.

Quand s'en servir

Le principe s'applique à toute prévision dont l'échec coûterait cher : un délai, un budget ou un engagement financier. Les questions à se poser sont les suivantes :

• Que se passe-t-il si mon estimation est fausse de 20 ou 30 % ?
• L'échec serait-il seulement désagréable, ou irréparable ?
• Existe-t-il un élément unique dont la défaillance arrêterait tout ?
• Mes solutions de secours peuvent-elles tomber en panne pour la même raison que la solution principale ?

Limites et pièges

La marge a un coût. Un pont trois fois trop solide coûte plus cher, et une épargne dormante ne rapporte pas. La recherche de l'efficacité pousse donc à rogner les marges, ce qui passe inaperçu tant que tout va bien. À l'inverse, des marges empilées à chaque étage d'une organisation, où chacun ajoute sa précaution à celle des autres, produisent des délais et des budgets déraisonnables.

La redondance, de son côté, ne protège que si les éléments doublés tombent en panne indépendamment. Le calcul du 1 sur 10 000 s'effondre si les deux sauvegardes sont dans le même bureau le jour d'un incendie. À la centrale de Fukushima, en 2011, les générateurs de secours ont été noyés par le tsunami qui a suivi le séisme, lequel avait déjà coupé l'alimentation électrique extérieure : une même catastrophe a emporté la solution principale et son secours. Une vraie redondance demande des éléments différents, placés dans des lieux différents.

Une marge calculée à partir d'un modèle faux ne vaut pas mieux que le modèle. Si la valeur estimée par l'investisseur est le double de la valeur réelle, une décote de 30 % ne le sauve pas.