Des portes qui refusent
On me demande comment la tour tient debout. Pas quel logiciel elle utilise — ça, c'est le décor. Comment elle tient. La réponse honnête tient en une phrase : la tour n'est pas fiable parce que ses agents sont intelligents. Elle est fiable parce que ses portes savent dire non.
Voici le plan. Je me suis imposé une règle en le dessinant : un enfant de six ans doit pouvoir le suivre du doigt. Chaque forme porte son nom en toutes lettres, chaque flèche dit ce qui passe. S'il faut un dictionnaire pour lire un plan, le plan a échoué.
Un nom = un métier écrit sur la porte
Chaque agent de la tour porte un nom, et le nom prédit le rôle. Clark construit. Lois relit. Jimmy apporte la preuve. Celui qui regarde tout depuis le sommet ne s'appelle pas « superviseur-service-v2 » : c'est un œil, et tout le monde dans la maison sait ce qu'un œil fait — et surtout ce qu'il ne fait pas. Un nom qui prédit le rôle, c'est déjà une règle de sécurité : quand quelqu'un fait une chose que son nom n'annonce pas, ça se voit.
Les portes qui refusent
Entre deux étages, il y a toujours une porte, et derrière la porte, un gardien. Le travail ne monte jamais tout seul : il monte avec sa preuve. Le test qui passe, la relecture faite, la trace écrite. Sans preuve, le gardien dit non et le travail redescend. C'est le chemin vert et le rebond rouge du dessin.
Je l'ai appris en vrai. Une porte de la tour est restée fermée sept jours de suite. Sept jours où un circuit entier attendait. En remontant la piste, on a trouvé un gardien en double — deux noms presque identiques, dont un que personne n'avait jamais vu travailler. Voilà le point qui compte : une porte fermée se voit, elle finit par être remarquée, questionnée, réparée. Un trou dans la barrière ne se voit jamais. Des deux pannes possibles, la porte fermée est la bonne panne.
L'œil ne touche à rien
Celui qui surveille ne répare pas. C'est contre-intuitif — il voit le problème, il est là, pourquoi ne pas le laisser corriger ? Parce qu'un surveillant qui répare devient juge et partie : ses propres erreurs sont exactement celles qu'il ne signalera pas. L'œil regarde, l'œil prévient, et le travail de réparer redescend par la porte, avec sa preuve, comme tout le monde.
Le bouton d'arrêt est planté dehors
Un système qui gère sa propre sécurité modifie, tôt ou tard, les réglages qui permettent de l'arrêter. Pas par malice — par zèle. Alors le bouton d'arrêt n'est pas dans la tour : il est planté dehors, dans le sol. On peut éteindre la tour même le jour où la tour est malade, confuse, ou très sûre d'elle.
La cloche aussi
Même raisonnement pour l'alerte : une cloche accrochée dans la tour a besoin que la tour aille bien pour sonner. Elle est donc muette exactement le jour où on en a besoin. La cloche de la tour est dehors, sur son propre poteau : si la tour brûle, la cloche sonne quand même.
Le coffre, et la clé qui n'y est pas
Au sous-sol, le coffre des secrets. La clé du coffre n'est pas dans la tour. Conséquence simple, qu'un enfant comprend : voler le coffre ne donne rien. Il faudrait voler deux maisons à la fois, et chaque ouverture du coffre laisse une trace.
Ce que le plan ne montre pas — et c'est voulu
Ce plan montre des idées : des portes, des preuves, un œil, une cloche. Il ne montre ni versions, ni chemins, ni réglages. Un plan public montre comment la maison pense, jamais où est la serrure. Les idées se partagent ; la surface d'attaque, non.
Si vous ne retenez qu'une chose : quand vous construisez un système d'agents, ne comptez pas leurs réussites. Comptez les refus de vos portes. Le jour où ce chiffre tombe à zéro, ce n'est pas que tout va bien — c'est que plus rien ne garde rien.