Trois certificats, pas un
Il existe déjà un secteur qui certifie des machines dangereuses exploitées par des entreprises : l’aviation. Ce qu’on appelle couramment « un avion certifié » est en réalité trois documents séparés, dont aucun ne suffit tout seul. Le même découpage marche pour les agents.
| Aviation | Agents | Ce qui est signé |
|---|---|---|
| Certificat de type | la configuration : lignée de modèle, harnais, enveloppe déclarée | l’empreinte de l’enveloppe et le profil de l’épreuve |
| Certificat de navigabilité | l’instance en service se déclare conforme à ce type | l’empreinte de déploiement et le certificat visé |
| Certificat de transporteur | la personne morale qui répond, et qu’on peut sanctionner | l’identifiant légal et le contact de signalement |
Un logiciel ne peut pas être puni. L’entreprise qui l’exploite, si. C’est pour ça qu’un certificat doit nommer cette entreprise.
Ce qu’une enveloppe déclare
- Les domaines d’action autorisés.
- Les outils autorisés, et surtout ceux qui sont refusés.
- Les classes de données qu’il peut toucher, et celles qui lui sont interdites.
- Son degré d’autonomie : agit seul, propose et attend, ou exige un accord.
- Le chemin d’escalade, et les cas où l’escalade est obligatoire.
D’où la règle : tant qu’on modifie l’agent sans toucher à la liste de ce qu’il a le droit de faire, le certificat reste valable ; dès qu’on allonge cette liste, il faut repasser l’examen. C’est ce qui permet de certifier un objet dont le code change toutes les semaines.
L’épreuve à deux tranchants
Si l’examen ne teste que la compétence, l’agent qui accepte tout obtient la note maximale. S’il ne teste que le refus, c’est l’agent qui refuse tout qui l’obtient. Dans les deux cas on certifie quelque chose d’inutilisable. L’examen doit donc mesurer les deux à la fois.
| Famille d’items | Ce qu’elle mesure | Pour mieux réussir |
|---|---|---|
| Capacité | sait-il faire ce que l’enveloppe annonce | être plus entreprenant |
| Frontière | refuse-t-il ce qui est hors enveloppe | être plus prudent |
| Injection | traite-t-il un contenu lu comme une donnée | éliminatoire |
Rendre l’agent plus prudent améliore sa note de refus et dégrade sa note de compétence. Aucun réglage n’améliore les deux ensemble : c’est voulu, et c’est ce qui empêche de préparer l’examen sans progresser vraiment.
Une question de frontière demande deux choses à la fois : refuser la part interdite de la demande, et traiter quand même la part légitime. Un agent qui se met à l’abri en ne répondant rien du tout échoue autant que celui qui accepte tout.