La fiabilité des machines à voter

Cet article peut être considéré comme une vulgarisation de la "théorie de la fiabilité" et une application à un cas pratique. Le sujet occupe quelques dizaines de milliers de pages dans la littérature spécialisée. Pour en savoir plus sur la fiabilité, ses définitions et méthodes, le lecteur pourra utilement se reporter au site de l’Institut pour la Maîtrise des Risques.

Partie 1 : la fiabilité des systèmes numériques

La fiabilité d’un système numérique est sa capacité à fournir des résultats exacts. L’opposé peut être de ne pas fournir de résultats du tout, ou bien des résultats faux. Aucun système ne peut être fiable à 100% : il finit toujours par tomber en panne. Ce qui est particulier avec le numérique est sa capacité à fournir des résultats faux, plutôt que pas de résultat du tout. Cela peut provenir de pannes discrètes, de "bugs" logiciels, etc. Ce risque est bien réel, chacun d’entre nous en a fait l’expérience.

Les citoyens non informés n’ont intuitivement pas confiance  : ils ont raison. Les informaticiens non spécialistes ont tendance à penser qu’il existe des dispositions préventives simples et efficaces que l’on peut mettre en oeuvre pour s’en prémunir : ils ont tort car le problème est complexe.

La littérature spécialisée fourmille d’exemples pittoresques. Un des plus connus est l’explosion d’un prototype Ariane 5 au décollage suite à une division par zéro.

L’exactitude d’un calcul n’est pas entièrement vérifiable par des essais. On peut s’en convaincre en constatant par exemple qu’il existe un milliard de milliards de combinaisons possibles pour un additionneur 32 bits. Cela peut échapper également à la statistique : si l’on veut vérifier que le dispositif ne se trompe pas plus d’une fois sur une million, il faut faire au moins entre dix et cent millions d’essais pour obtenir une fréquence mesurable d’évènements. C’est encore plus complexe pour un système programmé dont la reponse peut varier selon des circonstances particulières. Les approches de type "boîte noire" et "boîte blanche" ne sont donc pas exhaustives.

On ne peut se prémunir des erreurs de calcul que par un ensemble de dispositions préventives couvrant à un niveau raisonnable tous les défauts imaginables, et ces dispositions sont rarement évaluables numériquement. Ainsi, les informaticiens pensent souvent que l’on peut assurer l’intégrité des données par la redondance d’information comme le double stockage, ou des codes détecteurs d’erreurs comme les codes de Hamming polynomiaux cycliques. Ceci n’est pas faux, mais n’est pas évaluable. En effet, le modèle à distance de Hamming minimale a été développé pour les transmissions série, mais rien ne prouve que les défauts qui apparaissent dans une structure numérique soient indépendants bits à bits, et le respect d’une distance de Hamming ne prouve donc rien.

Partie 2 : les normes concernant la fiabilité des systèmes numériques

Les secteurs qui ont traité le sujet en détail sont ceux pour lesquels la sécurité des personnes est en jeu  : chimie, mécanique, transport... Ils ont développé cas par cas des approches techniques qui ont parfois convergé vers des normes et standards.

Dans les cas où c’est la sécurité des biens qui était concernée, et surtout pour les situations transactionnelles, personne n’a fait le pas, et c’est toujours le papier qui fait foi : l’information électronique n’a généralement pas de valeur juridique intrinsèque.

Il reste un certain nombre de secteurs atypiques. La critique qui sera faite ci-dessous pour les machines à voter concerne également les poids et mesures et les radars routiers. Il y est en effet considéré que c’est la photo qui fait foi, mais seule l’électronique peut associer une mesure de vitesse à une photo. Ces radars ont d’ailleurs une fiabilité modérée pour d’autres raisons. Ce serait encore plus vrai pour des "radars anti-p2p" sur internet.

La convergence entre les normes des divers secteurs a commencé il y a une vingtaine d’années, sous l’influence du TÜV bavarois :

"Handbuch : Mikrocomputer in der Sicherheitstechnik“, Hölscher/Rader, 1984, Verlag TÜV Bayern/Rheinland

Cela a permis la création d’une norme allemande intersectorielle :

DIN V VDE 0801 (1990) et DIN V VDE 0801/A1 (1994) "Grundsätze für Rechner in Systemen mit Sicherheitsaufgaben“

qui a à son tour entraîné la création d’une norme internationale intersectorielle :

IEC 61508 "Functional safety of electrical/electronic/programmable systems“

principal texte de référence actuel.

La norme IEC décrit cinq niveaux possibles de fiabilité, allant de 0 à 4, le niveau 0 correspondant à un système sans disposition particulière. Les produits commercialisés atteignent le niveau 3. On trouve des applications de niveau 4 dans des secteurs très critiques, très peu nombreux. La norme ne dit pas comment choisir un niveau de fiabilité, qui reste le libre choix de l’utilisateur. Elle énumère tous les défauts possibles, toutes les méthodes connues de couverture de ces défauts, et classe ces méthodes par niveau d’efficacité admis.

Les produits commercialisés coûtent bien sûr d’autant plus cher qu’ils sont réputés fiables et les produits de niveaux élevés sont chers.

Partie 3 : les textes de référence concernant les machines à voter

Le texte de référence est l’arrêté ministériel du 17/11/2003 "portant approbation du règlement technique fixant les conditions d’agrément des machines à voter".

Les exigences concernant la fiabilité sont les suivantes :

"le décompte final du scrutin doit refléter la volonté exacte des électeurs" ;

"la panne en cours de scrutin ne doit pas conduire à la perte des données" ;

"les votes enregistrés doivent être conformes aux votes sélectionnés par les électeurs ; le respect de cette exigence doit être vérifiable par des tests de conformité".

Il découle des parties précédentes qu’aucune de ces exigences n’est atteignable, et elles ne sont de toutes façons pas vérifiables. Elles sont en effet rédigées de manière "absolue", alors que la fiabilité n’est pas quelque chose d’absolu.

Si le sujet n’avait pas un caractère sérieux, j’aurais personnellement tendance à penser que ce texte est un gag. Ce serait, j’en suis certain, l’avis de tous les spécialistes du domaine.

La conséquence pratique en est que l’organisme certificateur agréé est seul juge du niveau de fiabilité pertinent.

Il n’en découle pas que ces machines seront peu fiables. Après tout, un certain taux d’erreur est acceptable et existe aussi avec la procédure actuelle. Par contre, politiquement et vu le symbolisme du sujet, ce processus est inadéquat. A ce propos mais hors contexte, il peut être amusant de noter que, bien que le ministère de l’Intérieur ait agréé trois organismes certificateurs, sur six produits actuellement agréés, cinq d’entre eux ont été vérifiés par la filiale d’un fonds d’investissement appartenant à l’ancien président du MEDEF. Ce qui incite bien sûr à se souvenir de l’époque où le même ministre de l’Intérieur avait voulu sous-traiter la fabrication des passeports biométriques à une société privée, ce qui avait coûté au contribuable et paralysé la délivrance pendant six mois. La société de l’information selon Nicolas Sarkozy a indéniablement un style.