Le bureau d’études qui rédige le cahier des charges d’une GTB, et la société qui la déploie, devraient être indépendants des fabricants et des revendeurs. Chez Foorier, cette indépendance me permet de dialoguer avec toutes mes GTB en langage naturel et d’y intégrer des bornes de recharge, avant les autres intégrateurs et avant que les fabricants le proposent.
40 €/m²pour remplacer quelque chose qui marche déjà
Un intégrateur a récemment proposé à l’un de nos clients de remplacer tout le pilotage de ses ventiloconvecteurs pour 40 €/m², chauffage et climatisation uniquement. Le matériel en place fonctionne et tiendra encore au moins 10 ans. Mais la gamme n’est plus maintenue par le fabricant, et ni les programmes ni la documentation ne sont récupérables pour moderniser l’existant. L’intégrateur a donc proposé ce que son catalogue lui permettait : la gamme suivante.
La même semaine, j’ai posé cette question à mes GTB :
« Quelle a été la courbe de température sur les 5 premiers établissements de notre liste, répartie par établissement, entre le 1er juin et le 15 septembre ? »
La réponse est arrivée en quelques secondes, pour ces sites, quelle que soit la marque des équipements installés et leur protocole de communication (j’ai littéralement copié/collé le HTML généré pour vous montrer).
Températures intérieures, été 2026
Moyenne de toutes les pièces de cinq bâtiments, du 1er juin au 15 septembre
Mesures issues des thermostats, vannes connectées, climatiseurs et thermomètres de chaque bâtiment. Survolez le graphique pour le détail jour par jour ; cliquez sur un bâtiment pour l’afficher ou le masquer.
On voit qui a vraiment souffert, et qui s’en sortait bien cet été…
Qui écrit le cahier des charges ?
Personne ne confierait à un concessionnaire la rédaction de l’appel d’offres pour renouveler sa flotte automobile. En gestion technique du bâtiment, c’est pourtant courant : le cahier des charges reprend souvent la fiche produit d’une marque, et l’intégrateur qui répond est agréé par cette même marque. Certains vont jusqu’à proposer un extrait de cahier des charges à copier-coller pour les bureaux d’études. A chaque fois qu’il y a une attache de ce type, elle se paie par la suite et sur toute la durée de vie de l’installation.
Ce que coûtent vraiment les attaches
D’abord, de l’argent
Il y a d’abord le surcoût à l’achat. Les licences sont facturées au point, chaque unité de climatisation demande sa propre passerelle payante, chaque protocole supplémentaire est une option logicielle. Additionnées, ces lignes dépassent parfois le prix du matériel.
Vient ensuite le remplacement forcé, celui des 40 €/m². Quand une gamme n’est plus maintenue, un intégrateur lié à la marque propose la gamme suivante, et du matériel en état de marche part à la benne. Super bon plan pour la planète en bonus !
La maintenance devient captive. Il y a souvent un seul intégrateur agréé dans la région, avec des tarifs impossibles à mettre en concurrence et des délais que le propriétaire subit.
Enfin, la moindre modification passe par un devis : changer un horaire d’occupation, ajouter une sonde ou créer une alerte demande un budget, un bon de commande, un délai d’intervention… Quelle agilité en 2026 !
Le contrôle
Les programmes, la documentation et l’historique des données ont été payés par le propriétaire, mais c’est l’intégrateur qui les détient, s’il n’est pas parti à la retraite ou s’il n’a pas mis la clé sous la porte (nous avons déjà vu ces 2 cas de figure). Le jour où le propriétaire veut changer de prestataire, il repart de zéro.
Un cahier des charges calqué sur un catalogue fausse aussi l’appel d’offres. Le choix de la marque est fait avant la consultation, et les autres candidats sont découragés, ou alors ils répondent pour la forme.
Enfin, un parc hérité de 3 marques, ce sont 3 superviseurs, 3 logiques et 3 interfaces. Comparer ses bâtiments entre eux devient impossible, ou alors il faut se référer au paragraphe précédent sur l’argent.
Le risque
La réglementation pousse vers une régulation pièce par pièce (BACS de classe élevée, décret thermostat…)
Chez beaucoup de marques historiques, installer une sonde de température dans chaque pièce et un actionneur sur chaque émetteur coûte très cher. On régule alors par zone, on accepte des compromis, et on reste en marge de ce que demandent les textes.
Côté cybersécurité, même les protocoles avec une version sécurisée (suivez mon regard vers le BACnet) exigent des contrôleurs récents et ajoutent une ligne au devis des plateformes propriétaires. Leur code est écrit et relu par des équipes restreintes, donc testé par peu de monde, rarement mis à jour, et en retard sur les failles découvertes. Quelques minutes de recherche suffisent pour trouver des superviseurs de bâtiments exposés sur internet (envoyez-moi un message si vous vous posez la question pour votre cas).
L’avenir est hypothéqué
L’intelligence artificielle, les bornes de recharge et le photovoltaïque viennent d’autres industries. Elles arrivent tard dans les catalogues des fabricants de GTB, quand elles y arrivent. Qui sait de quoi demain sera fait : systèmes de brumisation, détecteurs de fuites, buanderie connectée… Les économies d’énergie qu’un bâtiment peut faire se limitent alors à ce que prévoit le catalogue du fournisseur choisi, et de sa capacité d’exécution.
Ce que l’indépendance me permet de faire
Je peux déjà parler à mes bâtiments depuis des mois
Je pose la question sur les températures de l’été en français, pour tout ou partie des sites que Foorier supervise. L’IA interroge chaque GTB, fait les requêtes de données nécessaires, et organise la réponse par établissement. Comme l’accès passe par une API ouverte et documentée, nos clients peuvent utiliser l’IA de leur choix.
Je peux aussi lui demander d’agir :
« Règle la température de confort de tous les établissements de l’entité 1, dans la région Nord uniquement, à 20 °C. »
L’IA identifie les sites concernés, me présente les changements prévus et les applique après ma confirmation. Ca aurait pu demander des dizaines de jours hommes à un technicien de se déplacer sur chacun des sites pour régler chaque thermostat à la main ; ça prend 1 minute à nos clients.
J’en parle parce que S., H. et D. ne proposent pas encore ce dialogue avec leurs systèmes, et les intégrateurs qui dépendent d’eux non plus. Ils ont déjà réduit la charge de travail à quelques jours hommes, c’est mieux que rien.
Je peux intégrer les bornes de recharge comme si de rien n’était
Une GTB classique ne parle pas le protocole des bornes de recharge. Il faut empiler des passerelles, et souvent laisser le pilotage à l’opérateur de recharge. Chez nous, une borne s’intègre comme n’importe quel autre équipement. Nos clients peuvent alors suivre la consommation de chaque borne et de chaque utilisateur pour la refacturer, recharger en milieu de journée quand les panneaux solaires produisent le plus, et décaler la recharge selon le tarif pour éviter les jours de pointe et profiter des heures creuses.
Et tout le reste
Une supervision unique pour un parc multimarque : S., H., D. et le matériel historique, au même endroit et avec la même logique.
Le matériel historique conservé tant qu’il fonctionne.
Le photovoltaïque et les batteries pilotés pour consommer au maximum l’électricité produite sur place.
Les jours Tempo, les alertes EcoWatt et les prévisions météo pris en compte, par exemple pour anticiper la relance du chauffage.
Un chauffage calé sur l’occupation effective des locaux, à partir de l’agenda de réservation des salles.
La détection d’anomalies, comme un chauffage et une climatisation qui tournent en même temps, trop de fenêtres ouvertes ou des changements de consigne à répétition. J’ai déjà appelé mon client pour lui signaler qu’il fallait rouvrir l’électrovanne gaz car j’ai détecté que le brûleur de sa chaudière était en rade.
Une régulation qui continue de fonctionner et des données qui continuent d’être enregistrées même si la connexion internet coupe.
Être indépendant, c’est aussi pouvoir combiner les solutions et compenser les faiblesses de l’une par une autre. Je compare les sondes et les contrôleurs de tous les fabricants, et je retiens ceux qui rendent le meilleur service au meilleur budget, sans dépendre du catalogue d’une marque.
Les 6 clauses à mettre dans votre cahier des charges GTB
Maintenant qu’on a fait le tour de toutes les joies du marché de la GTB, voici une liste courte à intégrer dans votre prochain cahier des charges, à côté du reste, si vous voulez pouvoir faire comme moi :
Des protocoles ouverts pour tous les équipements et pour le superviseur, sans passerelle propriétaire.
Une API ouverte et documentée, en lecture et en écriture, sans licence supplémentaire, pour que n’importe quel logiciel ou n’importe quelle IA puisse consulter les données et envoyer des commandes.
La propriété du client sur les données, les programmes et la configuration, avec un export dans un format standard.
La remise de la documentation complète et des programmes à la réception, puis à chaque modification.
Aucune licence facturée au point ou à l’équipement ajouté.
L’indépendance déclarée du bureau d’études et de l’intégrateur vis-à-vis des fabricants et des revendeurs.
On connaissait la recette. Une entreprise se sait quasi incontournable. Elle change d’actionnaire, ou de dirigeants, ou des premiers puis des seconds. Et du jour au lendemain, les prix s’envolent. Pas de 5 %. De 200 %, de 500 %, parfois de 1 000 %.
Dans l’univers du numérique, les exemples sont nombreux et publics, et les entreprises qui se sont prêtées au jeu sont devenues sulfureusement célèbres. Nous avons pu constater que cette pratique existe aussi dans la GTB. Et pourquoi pas ?
1. La recette, version logiciel
Broadcom, d’abord. Le fabricant de puces réseau rachète VMware pour 61 milliards de dollars fin 2023. Dans le mois qui suit : fin des licences perpétuelles, passage forcé à l’abonnement, catalogue ramassé en deux gros bouquets. AT&T affirme devant la justice américaine s’être vu proposer une hausse de 1 050 %. En Europe, le Cigref et ses homologues, qui représentent plus de 1 000 grandes entreprises, écrivent dès avril 2024 à la présidente de la Commission européenne pour dénoncer des pratiques « inacceptables ».
Un analyste a résumé le modèle Broadcom en cinq phrases. Elles méritent d’être lues lentement :
“Buy a company with a large installed base and high switching costs. Cut R&D and headcount after close. Raise prices on the core products. Convert perpetual license customers to subscriptions. Use the resulting cash flow to service acquisition debt, pay dividends, and fund the next deal.” Acheter une entreprise avec une large base installée et des coûts de sortie élevés. Réduire fortement la R&D et les effectifs post acquisition. Augmenter les prix des produits phares. Convertir les licences perpétuelles en abonnements. Utiliser la trésorerie dégagée pour rembourser l’acquisition, verser des dividendes et financer le rachat suivant.
Oracle, ensuite. En janvier 2023, Java passe d’une facturation à l’usage à une facturation… par salarié. Tous les salariés, qu’ils utilisent Java ou non, intérimaires et sous-traitants compris. 15 $ par salarié et par mois, là où l’ancien modèle comptait les utilisateurs réels, à 2,50 $.
Citrix, racheté en 2022 par les fonds Vista et Elliott. Un hôpital voit la facture de 100 licences passer d’environ 8 000 € à 80 000 € en dix-huit mois.
Et chez nous ? Silae, le logiciel de paie des experts-comptables, annonce en septembre 2024 des tarifs jusqu’à trois fois plus élevés. Levée de boucliers de la profession, et recul partiel un mois plus tard. Preuve que quand les clients se tiennent, l’essoreuse ralentit.
Cette pratique est courante, et elle porte un nom :
le capitalisme d’essorage.
On ne crée plus de valeur, on essore celle qui est captive, tant que les clients ne peuvent pas fuir, tant que le marché n’a pas fait émerger un concurrent.
À quoi ça sert ? À rembourser la dette, à servir des salaires sympathiques, à servir les dividendes, et à financer le rachat suivant.
Qui sera essoré à son tour ?
2. Et dans la GTB ?
La GTB peut elle aussi cocher toutes les cases. Une base installée énorme. Des bâtiments qui durent cinquante ans. Des coûts de sortie élevés. Le besoin impérieux d’avoir chaud l’hiver, et de dormir au frais l’été. Le terrain idéal.
Nous avons échangé avec plusieurs clients et bureaux d’études, qui nous ont permis d’avoir les informations et de les recouper. Le schéma est toujours le même.
La marque est connue et prestigieuse, les équipements sont performants, peu chers à l’achat, robustes et durables…
MAIS.
Il faut des licences, une suite de logiciels et des clés payantes pour programmer les équipements. Le constructeur a organisé la pénurie. Il se sait incontournable, donc il monte les prix. Les clés ne sont JAMAIS possédées par les installateurs, mais par le constructeur, qui les révoque en fin de chantier ou au moindre soupçon.
Si un installateur a le malheur d’intervenir sur un site qui n’a pas payé sa licence, le constructeur le met sur liste noire. Plus aucune affaire ne lui est envoyée.
Le résultat ? Il faut régulièrement payer de nouvelles licences. Puis renouveler les équipements, parce que « la gamme est vieille, plus maintenue, et le dernier technicien qui la connaissait est parti à la retraite l’an dernier ». « Vous ne voudriez pas que votre chaudière vous lâche en plein hiver ? »
Vous voilà donc obligés de réinvestir 100, 200, voire 300 k€ pour remplacer vos capteurs, vos actionneurs, vos automates, votre câblage, votre GTB.
Avec parfois, cerise sur le gâteau, des arriérés de licences : « vous aviez arrêté de payer ; si vous ne vous acquittez pas de votre dette, nous ne travaillerons plus ensemble ». Comme à la douane aux États-Unis : vous n’avez pas payé vos PV, vous n’entrez plus.
Ces pratiques ne sont pas revendiquées haut et fort. Il faut être de la partie pour les connaître. Et elles génèrent des rentes très puissantes, qui permettent d’acheter des complicités, ou au moins des silences.
Quand vous choisissez vos solutions de bâtiment connecté, optez toujours pour des standards : BACnet, Modbus, KNX, M-Bus, MQTT. Et des vrais, pas trafiqués ou tartinés par une surcouche du fabriquant. Ces standards rendent les équipements interopérables et servis par de nombreux constructeurs, comme les médicaments génériques ; ils vous assurent pour 15 à 30 ans de tranquillité, grâce à des équipements et des prestataires disponibles à des prix compétitifs, parce que le marché est vaste et les acteurs expérimentés.
Avant de signer, voici les questions à poser :
Qui possède les équipements, les licences et les outils de programmation à la fin du chantier ?
Les programmes et les données sont-ils dans un format ouvert ?
Avez-vous les programmes de vos automates, que vous savez réinstaller ?
Un autre intégrateur peut-il reprendre l’installation demain, sans l’accord du constructeur ?
Si une seule réponse est floue, vous connaissez déjà la suite.
Et si vous êtes déjà enfermés ? La bonne nouvelle est qu’il est aujourd’hui possible de sortir de cet enfermement, car les technologies de l’Internet ont commencé à s’infiltrer dans le bâtiment. Elles permettent des merveilles, et en plus d’être économique et libérateur, c’est écologique ! On garde ce qui peut encore fonctionner des années en reprenant la mais dessus, et on ne remplace que ce qui est obsolète ou fermé.
Ne vous faites pas essorer, battez-vous.
Contactez-nous, nous trouverons ensemble comment briser vos chaînes.
Un open space, un matin de février. On observe une doudoune sur des épaules, à dix mètres d’un radiateur. Ici, une fenêtre ouverte sur le gel, et son homme en chemisette, ravi. Dessous, caché comme un péché, un petit radiateur d’appoint que les ressources humaines font mine de ne pas voir. De quoi s’agit il ? D’une guerre. Froide, par définition, et vieille de soixante ans.
Le sujet a l’air anodin. Il ne l’est pas, et il tient dans une question toute simple. Qui a décidé qu’il faisait bon ici ? Chacun croit que c’est lui, ou son chef, ou le service technique. Erreur. C’est un monsieur que personne n’a jamais rencontré, qui n’a jamais rencontré personne, et qui règne pourtant sur les après midi de millions de bureaux. Il mérite d’être présenté.
Dans les années 1960, un savant danois du nom de Fanger entreprit de mettre le confort en équation, ambition belle et très raisonnable en son temps. Puisque chacun sent à sa guise, calculons ce que sentirait la moyenne des occupants, et réglons les machines dessus. Il en sortit une formule, le vote moyen prédit, PMV pour les intimes, qui gouverne aujourd’hui la quasi totalité des bâtiments tertiaires du monde par l’entremise de la norme internationale ISO 7730 [1][2].
Six variables entrent dans le calcul. Quatre décrivent l’ambiance, la température de l’air, celle des parois, la vitesse de l’air, l’humidité. Deux décrivent l’occupant, son habillement d’une part, et d’autre part sa production de chaleur, car un corps est un petit poêle qui brûle son déjeuner et rayonne dans la pièce. C’est ici que le bât blesse. Faute de pouvoir mesurer chaque poêle, la formule a pris un poêle étalon. Un homme. Quarante ans. Environ 70kg. Assis, en tenue de bureau [3].
Voilà le fantôme. Il avait sans doute sa légitimité en 1965. Mais il est toujours là, dans les gaines de ventilation, les armoires de régulation et les cahiers des charges, pendant que des femmes, des jeunes, des seniors et des corpulences de toutes les géométries travaillent dans des ambiances taillées pour lui seul. On a changé les moquettes, les écrans et les organigrammes. Le fantôme, jamais.
En 2015, deux chercheurs de l’université de Maastricht, Boris Kingma et Wouter van Marken Lichtenbelt, ont eu l’idée simple qui fait les grandes études. Mesurer, au lieu de supposer. Ils ont mesuré la production de chaleur réelle de 16 femmes en plein travail de bureau et publié le verdict dans Nature Climate Change. Elle s’avère inférieure de 20 à 32 % aux valeurs standard servant à calculer le refroidissement estival des bâtiments, et la formule surestimerait le métabolisme féminin de repos jusqu’à 35 % [3]. Traduction pour l’open space. La climatisation réglée au chaud du fantôme souffle trop froid sur une partie du plateau, et les doudounes de juillet ne sont pas des caprices, ce sont des données expérimentales. Avec une ironie comptable au passage, car tout ce froid de trop se paie en kilowattheures. On gèle des gens à grands frais.
La science refuse pourtant le procès trop simple, et c’est ce qui rend l’affaire intéressante. Les défenseurs du modèle historique rappellent, et c’est exact, que les expériences fondatrices comptaient autant de femmes que d’hommes et leur trouvaient des préférences voisines à habillement égal [4]. Une étude de 2023 précise le tableau en sens inverse. À corpulence comparable, hommes et femmes perçoivent la température de la même façon [5]. Autrement dit, la moyenne pose davantage problème que la différence entre hommes et femmes. La chaleur d’un corps dépend de sa masse, de son muscle et de son âge, la physiologie du vieillissement montrant une défense de la température qui faiblit avec les années [6]. La bonne température universelle n’existe pas, n’a jamais existé. Toute consigne unique est un lit de Procuste, et il y a toujours quelqu’un qui en dépasse.
Laissons les laboratoires, car pendant que les savants disputent, quelqu’un tourne la molette. Et ce quelqu’un n’est presque jamais tiré au sort. C’est celui dont le bureau jouxte le local technique. La plus ancienne de l’étage, qui connaît la sonde comme sa poche. Le chef, dont les frissons remontent au service technique plus vite que ceux des autres. Ou tout simplement le plus tenace, car dans l’empire du degré, la persévérance vocale tient lieu de titre de propriété.
La géographie en rajoute. Les bureaux en façade, tout en vitres, rôtissent l’été et frissonnent l’hiver, pendant que le cœur du plateau vit dans sa tiédeur brassée. Deux climats cohabitent sur un même étage, sous une seule consigne. Et tout en haut, le bureau de la direction est réglé juste, toujours, parce qu’on y a pensé d’abord et qu’on lui a souvent taillé sa régulation sur mesure. La carte du pouvoir et la carte des températures se recouvrent si exactement qu’on les croirait dessinées de la même main, et le plus remarquable est que personne ne l’a décidé. Le thermostat dit qui compte. Il le dit à voix basse, mais tout l’étage l’entend.
L’objection est prévisible. Une gestion centralisée, une GTB comme disent les gens du métier, un automate impartial, et finies les intrigues. Pas si vite. Un automate qui impose une température unique à tout un étage n’est pas la fin de l’ancien régime, c’est l’ancien régime avec un écran tactile. La moyenne de 1965, numérisée. Les façades cuisent encore, le fond du plateau grelotte encore, et le fantôme sourit dans sa gaine.
Tout se joue sur la finesse du découpage. Un bâtiment se pilote par zones, chacune avec sa sonde, sa consigne et son historique. À partir de là, tout se renverse. La zone qui a froid n’a plus besoin de crier, elle apparaît sur une courbe. L’arbitrage cesse d’être un bras de fer pour devenir un réglage. Et le portefeuille y gagne autant que la justice, car la consigne unique se règle toujours sur les plus bruyants, ce qui revient à surchauffer un étage entier pour trois postes. Mesurer chaque zone, c’est cesser de payer le degré de trop partout, pour ne le servir que là où il sert.
La prochaine fois qu’un collègue retouche la climatisation en catimini, le jugement mérite d’être suspendu. Il y a de bonnes chances qu’on assiste simplement au désaccord d’un occupant de chair avec un occupant de papier, d’un vivant avec un fantôme. Et le vivant a raison. Un bon système de pilotage fait des économies, bien sûr. Il rend aussi, un peu, la justice, en remplaçant la loi du plus sonore par la mesure des besoins.
Chez Foorier, c’est notre façon de faire, le pilotage à l’échelle de la zone plutôt que du bâtiment entier, parce qu’un immeuble ne se vit jamais uniformément et qu’aucun de ses occupants n’a signé pour être une moyenne. Ceux que le sujet démange, on en discute volontiers autour d’un café. À la bonne température, cela va de soi.
Fanger, P. O., Thermal Comfort, Analysis and Applications in Environmental Engineering, 1970 : modèle fondateur du confort thermique et de l’indice PMV.
Norme NF EN ISO 7730, Ergonomie des ambiances thermiques : détermination analytique du confort thermique par le calcul des indices PMV et PPD, avec les six paramètres du modèle dont l’habillement et le métabolisme.
Kingma, B. et van Marken Lichtenbelt, W., Energy consumption in buildings and female thermal demand, Nature Climate Change, volume 5, pages 1054 à 1056, 2015 : métabolisme mesuré de 16 femmes en activité de bureau inférieur de 20 à 32 % aux valeurs standard, surestimation du métabolisme féminin de repos pouvant atteindre 35 %, valeurs historiques calées sur un homme d’environ 40 ans et 70 kilos.
Réponses de la communauté du génie climatique à l’étude de 2015, rappelant que les expériences fondatrices de Fanger et Nevins incluaient autant de femmes que d’hommes et concluaient à des préférences proches à habillement identique (ASHRAE, REHVA Journal).
Rupp, R. F. et collaborateurs, étude de 2023 sur la perception thermique, sans différence entre hommes et femmes à caractéristiques physiques comparables.
deGroot, D. W. et Kenney, W. L., Impaired defense of core temperature in aged humans during mild cold stress, American Journal of Physiology, 2007.
Depuis trois semaines, nous enchaînons les visites de sites dans le cadre d’appels d’offres groupés. Tous les concurrents sont là, réunis pour poser les dernières questions : celles auxquelles les documents, même bien rédigés, ne permettent pas de répondre.
Ces visites sont toujours instructives. Mais, cette fois-ci, quelques réflexes m’ont particulièrement surpris.
L’armoire informatique : la grande oubliée de la GTB
La GTB vient historiquement du monde des équipements techniques du bâtiment.
Ses acteurs ont une solide culture du monde physique et électronique : concevoir des équipements fiables, les faire fonctionner pendant des années, respecter les contraintes électriques, mécaniques et de sécurité. Bref, éviter qu’une pompe à chaleur, une chaudière ou une centrifugeuse ne décide soudainement de prendre feu.
Mais la GTB a changé de nature.
Sous l’effet notamment du décret BACS, elle devient progressivement un système numérique. Dès qu’un équipement produit de la donnée, cette donnée ne sert plus seulement à vérifier que le bâtiment fonctionne correctement. Elle devient une composante de son pilotage. De son intelligence.
Et c’est là que le décalage apparaît.
Sur le terrain, le saut numérique reste encore souvent théorique. On commence par installer les équipements. Puis on confie à un intégrateur le soin de les paramétrer, de les connecter et de faire fonctionner un système dont peu de personnes, finalement, comprennent l’architecture complète.
Pendant nos visites, un détail m’a frappé : presque personne ne demande à voir l’armoire informatique ou le réseau du bâtiment.
On visite la chaufferie. On ouvre les armoires électriques. On regarde les automates. On mesure les tuyaux.
Mais le réseau informatique ? Il reste une abstraction.
Pourtant, les gestionnaires de bâtiments attendent désormais autre chose qu’une programmation figée une fois pour toutes. Ils veulent de la donnée, des tableaux de bord, du pilotage à distance, des alertes, des équipements pouvant être mis à jour, parfois des services accessibles depuis Internet.
Autrement dit : ils veulent un système numérique.
Et cette donnée ne devrait pas rester enfermée dans un placard au sous-sol.
Comment peut-on sérieusement concevoir une GTB connectée sans regarder le réseau auquel elle devra se connecter ?
« Le filaire, c’est plus costaud »
Deuxième surprise : dès que l’on parle de réseau sur un site, un vieux réflexe revient immédiatement.
« Le filaire, c’est plus costaud. »
La phrase semble presque clore le débat.
Ce qui est amusant, c’est que les personnes présentes sont parfaitement capables de travailler toute la journée en Wi-Fi, de participer à des visioconférences, d’utiliser leur téléphone en 4G ou 5G et de piloter une partie de leur vie numérique sans câble.
Mais dès que l’on franchit la porte d’une chaufferie, nous voilà soudain revenus vingt ans en arrière.
Le filaire devient une sorte de valeur refuge.
Chacun ajoute alors sa justification :
« Cela évite de changer le mot de passe. »
Ou encore :
« De toute façon, il faudra tirer un câble. »
Pour l’énergie, souvent oui. Pour la donnée, beaucoup moins.
Un câble dédié peut évidemment être extrêmement robuste. Personne ne prétend le contraire. Mais il a aussi un coût : études, chemins de câbles, percements, pose, raccordement, maintenance.
Et surtout, il peut parfois rendre économiquement impossible le service que l’on cherche justement à créer.
Quand le câble empêche le projet
Prenons l’exemple d’un hôtel.
Pendant des décennies, les téléviseurs des chambres ont été reliés par des câbles coaxiaux à une antenne collective. Cela permettait de recevoir TF1, Antenne 2 ou FR3. Puis la TNT est arrivée. Plutôt que de refaire tout le réseau, on a conservé les câbles existants. Il a parfois fallu ajouter des amplificateurs ou d’autres équipements, mais l’infrastructure en place restait exploitable.
C’est parfaitement rationnel : lorsqu’un réseau existe et fonctionne, il serait absurde de ne pas étudier sa réutilisation.
Le problème apparaît lorsque l’on transforme ce réflexe de réemploi en dogme technologique.
Prenons maintenant les radiateurs des chambres du même hôtel.
Il peut être extrêmement intéressant de connaître leur température, de détecter une chambre surchauffée ou de réduire automatiquement la consigne lorsqu’elle est inoccupée.
Mais si, pour récupérer quelques données et modifier une consigne, il faut tirer un nouveau câble jusqu’à chacun des radiateurs, le modèle économique s’effondre.
Je ne vais pas dépenser plusieurs centaines ou milliers d’euros par chambre pour économiser quelques dizaines d’euros de chauffage.
Le projet ne se fera tout simplement pas.
Et faute d’automatisation, quelqu’un continuera peut-être à faire le tour des chambres pour baisser manuellement les radiateurs.
Une technologie n’est pas seulement bonne parce qu’elle est robuste. Elle est bonne lorsqu’elle permet d’atteindre un service attendu à un coût acceptable.
Le sans-fil n’est pas l’ennemi de la robustesse
Avant de plaquer une solution, il faut répondre à cette question : quelle architecture est suffisamment robuste pour le service attendu, au bon coût ?
Dans certains cas, ce sera du filaire.
Dans d’autres, du Wi-Fi.
Ailleurs, du Zigbee, du Thread, du LoRaWAN, du Bluetooth ou un réseau cellulaire.
Et très souvent, ce sera un mélange de plusieurs technologies.
Le numérique nous a justement appris qu’un réseau n’est pas robuste parce qu’il possède un câble. Il est robuste parce qu’il a été correctement conçu : couverture, redondance éventuelle, sécurité, supervision, maintenance, alimentation, gestion des accès.
La robustesse est une propriété de l’architecture, pas du fil.
Le câble à la patte
Revenons enfin à nos visioconférences.
Comparez celles que vous avez faites depuis un ordinateur relié à une prise Ethernet à celles réalisées depuis un ordinateur portable en Wi-Fi ou depuis un téléphone mobile.
Le progrès n’a pas consisté à supprimer tous les câbles.
Il a consisté à ne plus avoir besoin d’en tirer un jusqu’à chaque utilisateur pour accéder au service.
La GTB devra suivre le même chemin. Et entrer dans les armoires réseau, y compris lors des visites, pour s’appuyer sur une architecture robuste et performante (soit pas trop couteuse !).
Les bâtiments auront encore des câbles.
Mais peut-être un peu moins de câbles à la patte, pour avoir plus de services numériques !
Il est 10 heures 15 au poste de soins d’un EHPAD français, un matin d’été ordinaire. Sur le classeur bleu, une feuille attend sa ligne du jour. Une soignante consulte le thermomètre du couloir et note 23,8 degrés. Elle date, elle paraphe. Le registre est à jour et le protocole respecté. Si l’agence régionale de santé passe demain, tout est en ordre.
Changement d’heure et de pièce. Il est 19 heures 30 dans la chambre 214, au deuxième étage, façade plein ouest sous la toiture. Le soleil a chauffé le mur toute l’après midi et le mur rend désormais sa chaleur à la pièce. La résidente a 91 ans. Quelle température fait il chez elle à cet instant ? Personne ne le sait. Le registre dit 23,8 degrés.
Ces deux scènes contiennent tout le sujet de cet article. Le relevé quotidien de température est un pilier concret du Plan Bleu et il prouve qu’on a respecté la réglementation. En revanche il ne dit à peu près rien de ce que vivent réellement les résidents dans leurs chambres. Une mesure ponctuelle dépend entièrement de deux choix, celui de l’heure et celui de l’endroit. Or ces deux choix sont faits en toute bonne foi par des équipes déjà surchargées, et ils tombent presque toujours au moment et au lieu les plus favorables. Les pages qui suivent expliquent pourquoi, puis comment faire mieux, sans rien enlever au mérite du dispositif.
L’histoire de ce dispositif commande tout le reste. En août 2003, une canicule de deux semaines provoque environ 15 000 décès en excès en France. Les victimes ont plus de 75 ans dans 82 pour cent des cas [1].
Le pays découvre que ses aînés sont morts de chaud, souvent dans des bâtiments incapables de restituer la moindre fraîcheur la nuit. La réponse arrive en 2005. Le décret du 7 juillet et son arrêté du même jour imposent à chaque établissement hébergeant des personnes âgées un plan d’organisation de crise, le fameux Plan Bleu, inscrit depuis à l’article D. 312-160 du code de l’action sociale et des familles [2][3].
Le dispositif tient en quelques obligations structurantes. Un référent est désigné pour toute la saison. Une convention avec un établissement de santé organise les transferts d’urgence. Des protocoles internes cadrent l’alerte et la prévention. Et surtout, l’article D. 312-161 impose l’obligation la plus emblématique du texte, disposer d’au moins une pièce rafraîchie accessible aux résidents, pour laquelle l’arrêté de 2005 retient un objectif raisonnable de 25 à 26 degrés [3][4]. Détail d’époque qui dit l’urgence d’alors, le décret prévoyait même une mesure transitoire. Les établissements pas encore équipés d’un système fixe de rafraîchissement étaient tenus, en attendant, de disposer de climatiseurs mobiles [2]. Chaque année, la période de veille saisonnière s’ouvre le 1er juin et court jusqu’au 15 septembre. Elle se prolonge lorsque la météo l’exige, avec une vigilance quotidienne de Météo-France département par département [5].
Le cadre s’est nettement renforcé depuis. Le décret du 3 janvier 2024 et l’arrêté du 12 février 2024 ont refondu le Plan Bleu, applicable dans sa nouvelle version depuis le 1er janvier 2025. Il dépasse désormais les seuls EHPAD pour couvrir de nombreux établissements médico sociaux. Il s’étend à toutes les situations sanitaires exceptionnelles. Il s’articule avec le dispositif régional des agences de santé, il est transmis au préfet et au SAMU, et il doit être évalué par des exercices puis révisé chaque année [6]. La loi du 8 avril 2024 sur le bien vieillir a ajouté sa pierre en imposant des dispositifs de rafraîchissement adaptés dans les chambres des établissements neufs ou rénovés [7]. Pour aider les établissements à s’y retrouver, les ministères ont publié fin 2022 un guide d’élaboration de 104 pages, accompagné d’une instruction interministérielle [8]. Ce document mérite d’être connu car il décrit le Plan Bleu réel, bien plus large que le seul sujet canicule. Il organise la démarche en cinq étapes, de la constitution d’une équipe projet jusqu’au plan de formations avec exercices annuels et retour d’expérience. Il structure la cellule de crise pilotée par le directeur, impose une main courante qui trace toutes les décisions pendant un événement, et fournit un volet par type de risque. Le risque chaleur y a son chapitre dédié, le volet températures, construit lui même en quatre temps qui vont de l’analyse du risque à la gestion de l’épisode [8].
C’est dans ce cadre que les recommandations nationales et les protocoles des agences régionales demandent de surveiller les températures intérieures pendant la saison et de consigner les relevés, à commencer par ceux de la pièce rafraîchie [5][8]. Voilà le classeur bleu de notre première scène.
Une chose doit être dite clairement. Tout cela est utile et nécessaire, et cela a sans doute sauvé des vies. Le Plan Bleu a transformé la culture des établissements. Le relevé quotidien a au moins un mérite immense, celui d’obliger chacun à regarder un thermomètre chaque jour. Le problème n’est donc pas ce que ce relevé fait. Le problème est ce qu’il ne peut pas faire.
Un relevé manuel quotidien est une photographie. Un point, dans une pièce, à une heure donnée. Or la température d’un bâtiment n’est pas un point. C’est un paysage entier qui bouge en permanence, et ce paysage varie selon deux dimensions que le registre ignore.
L’heure d’abord. La température d’une chambre suit un cycle journalier très marqué. Fraîche en fin de nuit, elle grimpe tout au long de la journée et culmine en fin d’après midi ou en début de soirée, quand les murs chauffés par le soleil rendent leur chaleur à la pièce. Ce décalage est l’œuvre de l’inertie du bâtiment, cette capacité des murs à stocker la chaleur pour la restituer des heures plus tard. Entre le creux du matin et le pic du soir, l’écart atteint couramment plusieurs degrés. Il en atteint bien davantage sous les toitures ou derrière une façade exposée. Et à quelle heure fait on le relevé dans la vraie vie d’un établissement ? Le matin, généralement, au moment calme de l’organisation des soins. C’est une logique d’équipe parfaitement compréhensible. C’est aussi le moment le plus frais de la journée. Le registre photographie systématiquement le paysage à son heure la plus flatteuse.
Le lieu ensuite. Un thermomètre au poste de soins ou dans un couloir mesure l’endroit le plus brassé de l’étage, celui où l’air circule et où les portes battent, souvent loin des façades. Une chambre vit exactement l’inverse. C’est une pièce fermée une partie de la journée, derrière une façade qui a sa propre exposition. Le même après midi d’été peut creuser plusieurs degrés d’écart entre une chambre au nord du rez de chaussée et une chambre à l’ouest du dernier étage, sans que rien ne les distingue sur le papier. Le relevé unique fait comme si l’établissement avait une seule température. Il en a des dizaines.
La nuit enfin, et c’est le point le plus grave. Ce qui a tué en 2003, les études l’ont établi, ce ne sont pas seulement les pointes de l’après midi. Ce sont les nuits sans répit, ces nuits où la température ne redescend plus et où les organismes âgés n’ont plus aucun moment pour récupérer [1]. Or un relevé effectué pendant les heures de service ne contient par construction aucune donnée nocturne. Les heures les plus dangereuses de la canicule sont précisément celles où le classeur dort.
Ce que le volet températures du guide demande réellement mérite d’être détaillé, car nous l’avons vérifié page par page. En amont de l’été, l’établissement doit repérer ses résidents les plus à risque et établir pour chacun une fiche de prise en charge avec son médecin traitant. Il doit vérifier que les fenêtres peuvent être occultées, repérer les pièces les plus difficiles à rafraîchir, s’assurer que la pièce rafraîchie tient ses 25 degrés, constituer ses stocks d’eau et de glace, et disposer de thermomètres pour l’air ambiant [8]. Pendant l’épisode, il doit suivre quotidiennement l’état clinique de chaque résident, avec une liste précise de symptômes d’alerte allant des vertiges à la température corporelle élevée, adapter les traitements avec les médecins et mobiliser les personnels [8].
Un fait mérite d’être signalé au passage. Une surveillance thermique continue et tracée existe déjà dans chaque établissement, pour un autre usage. Le circuit du médicament impose un contrôle quotidien et une traçabilité des températures des réfrigérateurs à médicaments, maintenus entre 2 et 8 degrés, ainsi qu’une surveillance de la température ambiante du local de pharmacie, qui doit rester sous 25 degrés [10]. Les établissements pratiquent donc déjà le relevé thermique rigoureux et enregistré. Il s’applique aujourd’hui aux médicaments.
À la relecture de cet inventaire, une asymétrie saute aux yeux. Le guide organise la surveillance des corps avec une précision remarquable. Chaque résident a sa fiche, son suivi quotidien, ses symptômes à guetter. La surveillance du bâtiment, elle, tient en deux lignes. Disposer de thermomètres. Repérer les pièces difficiles à rafraîchir. Aucun texte ne fixe l’heure, le lieu, la fréquence ni la méthode d’un relevé. Le rituel quotidien du classeur découle donc des protocoles internes de chaque établissement et des recommandations régionales, pas d’une norme nationale. Chacun mesure comme il l’entend, en toute conformité. L’angle mort n’est pas une négligence des établissements. Il est structurel. On surveille la température des résidents tous les jours, et personne ne sait celle de leur chambre.
Le constat tient en quelques phrases, sans polémique. Le relevé quotidien atteste une diligence et c’est sa fonction. Il prouve, en cas de contrôle ou de contentieux, que l’établissement a surveillé. Mais ce que mesure ce rituel reste un point frais dans un lieu brassé à l’heure calme. Ce que vit un résident vulnérable est la chaleur accumulée d’une chambre exposée à l’heure du pic, puis toute la nuit. La conformité est réelle. La connaissance ne l’est pas.
Une journée type d’épisode chaud rend le fossé visible. À 9 heures 30, le relevé réglementaire affiche 24 degrés dans le couloir du premier étage. Conforme, consigné, rassurant. La matinée passe. À 15 heures, le soleil attaque la façade ouest. Les chambres de ce côté commencent leur ascension pendant que le couloir traversant reste aimable. À 19 heures, la chambre 214 de notre introduction atteint son maximum, plusieurs degrés au dessus du chiffre du matin, et elle ne redescendra que très lentement puisque ses murs continueront de rayonner une partie de la nuit. À 23 heures, la résidente s’endort dans une pièce plus chaude que tout ce que le registre a jamais contenu. Le lendemain à 9 heures 30, on relève 24,2 degrés dans le couloir.
Les deux vérités de cette journée coexistent sans se contredire. L’établissement a respecté son protocole. Sa résidente a passé la soirée et la nuit dans une chaleur que personne n’a vue. L’heure et l’endroit du relevé changent tout. Il suffit de décaler la mesure de dix heures et de quinze mètres pour que le même bâtiment, le même jour, raconte deux histoires sans rapport. Il n’y a là dedans aucune négligence des équipes, qui font ce qui est demandé avec un professionnalisme constant. C’est l’outil qui est aveugle, pas les gens.
La bonne nouvelle est que ce problème est résolu depuis des années sur le plan technique, pour un coût devenu modeste. De petites sondes autonomes et sans fil, de la taille d’une boîte d’allumettes, savent enregistrer et transmettre la température d’une pièce en continu, jour et nuit, tout l’été. Il n’est même pas nécessaire d’équiper toutes les chambres. Un échantillon bien choisi suffit à cartographier le comportement thermique réel de l’établissement, avec une chambre par façade et par étage plus la pièce rafraîchie.
Ce que change la mesure en continu tient en trois bascules. La première fait passer du constat à l’action. Une alerte en temps réel quand une chambre franchit un seuil permet d’agir pendant l’épisode, de fermer les volets, de ventiler la nuit ou de prioriser les résidents concernés pour la pièce rafraîchie. Sans elle, on découvre après coup, ou jamais, que le deuxième étage ouest a passé trois soirées au dessus de 30 degrés. La deuxième bascule consiste à apprendre son bâtiment. Dès le premier été, la carte des chambres à risque se dessine d’elle même. Le guide national demande justement de repérer les pièces les plus difficiles à rafraîchir, sans donner de méthode pour y parvenir [8]. La mesure en continu est cette méthode. Elle répond littéralement à la demande du texte, et la carte obtenue vaut de l’or pour préparer l’été suivant et placer les protections solaires là où elles servent vraiment. La troisième bascule intéressera particulièrement les directeurs. La traçabilité réglementaire devient un sous produit automatique, puisque le registre se remplit seul, à toutes les heures et toutes les nuits, week ends compris. La preuve de diligence qu’il constitue devient incomparablement plus solide qu’une ligne par jour, précisément parce qu’elle n’a plus d’angle mort. Et elle nourrit deux autres exigences du guide. La main courante de crise s’appuie sur des faits horodatés plutôt que sur des souvenirs, et le retour d’expérience de fin de saison, que le guide demande d’organiser, se fait courbes en main au lieu de se faire de mémoire [8].
Cette approche n’a d’ailleurs rien d’inédit pour un établissement. Le principe de la sonde avec enregistrement et alerte est celui qui équipe déjà les réfrigérateurs à médicaments [10]. L’étendre aux chambres revient à appliquer au bâtiment une pratique que les équipes maîtrisent déjà à la pharmacie.
Reste l’argument de la sobriété, cher à notre métier. Les mêmes sondes qui protègent l’été servent l’hiver à vérifier les 19 degrés réglementaires et à traquer la surchauffe, ce gaspillage silencieux. Elles s’intègrent naturellement à une gestion technique du bâtiment pour les établissements qui s’équipent, et le décret BACS y pousse déjà les plus grands sites [9]. Quelques sondes travaillent ainsi douze mois sur douze. Pour la sécurité l’été. Pour la facture l’hiver.
Le Plan Bleu n’a pas été écrit pour produire des classeurs. Il a été écrit pour que l’été 2003 ne se reproduise jamais. Le relevé quotidien fut en 2005 le meilleur outil disponible pour installer une culture de la vigilance, et il a rempli ce rôle. Vingt ans plus tard, la technologie permet enfin d’être fidèle à l’esprit du texte et non plus seulement à sa lettre. Savoir réellement ce qu’il fait dans les chambres, à toute heure. Et agir à temps.
La saison de veille s’achève à la mi septembre, parfois prolongée quand l’été s’attarde. C’est le moment exact où ce sujet mérite d’être posé. Les relevés de l’été sont encore dans le classeur, les épisodes chauds encore en mémoire, et neuf mois s’ouvrent pour équiper l’établissement avant la prochaine saison. Un relevé par jour prouve qu’on a regardé. Une mesure en continu permet de protéger. Entre les deux, il y a toute la différence entre la conformité et la sécurité. Et cette différence tient en une phrase que nos lecteurs connaissent bien. On ne gouverne que ce qu’on mesure.
Santé publique France et Inserm, bilans de la canicule d’août 2003 (environ 15 000 décès en excès en France, 82 pour cent des victimes âgées de plus de 75 ans, rôle des températures nocturnes dans la surmortalité).
Décret n° 2005-768 du 7 juillet 2005 relatif aux conditions techniques minimales de fonctionnement des établissements hébergeant des personnes âgées, Légifrance, et article D. 312-160 du code de l’action sociale et des familles.
Arrêté du 7 juillet 2005 fixant le cahier des charges du plan d’organisation et les conditions d’installation d’un système fixe de rafraîchissement de l’air ou de mise à disposition d’un local ou d’une pièce rafraîchis, Légifrance (objectif de température de 25 à 26 degrés pour l’espace rafraîchi).
Article D. 312-161 du code de l’action sociale et des familles, Légifrance.
Instruction interministérielle relative à la gestion sanitaire des vagues de chaleur et recommandations des agences régionales de santé aux établissements médico sociaux (veille saisonnière du 1er juin au 15 septembre prolongeable, vigilance quotidienne de Météo-France, surveillance et consignation des températures intérieures).
Décret n° 2024-8 du 3 janvier 2024 relatif à la préparation et à la réponse du système de santé face aux situations sanitaires exceptionnelles, et arrêté du 12 février 2024 fixant la liste des établissements et services médico sociaux concernés, en vigueur au 1er janvier 2025, Légifrance.
Loi n° 2024-317 du 8 avril 2024 portant mesures pour bâtir la société du bien vieillir et de l’autonomie, Légifrance.
Direction générale de la santé et Direction générale de la cohésion sociale, Guide d’aide à l’élaboration du plan bleu en EHPAD, décembre 2022, diffusé par l’instruction interministérielle du 28 novembre 2022 (Bulletin officiel Santé n° 2022/25 du 15 décembre 2022). Son volet « températures » demande notamment de disposer de thermomètres pour l’air ambiant et de repérer les pièces les plus difficiles à rafraîchir, sans prescrire d’heure, de lieu, de fréquence ni de méthode de relevé.
Décret n° 2020-887 du 20 juillet 2020 modifié relatif au système d’automatisation et de contrôle des bâtiments non résidentiels, Légifrance.
Bonnes pratiques du circuit du médicament en établissement médico social et référentiels de conservation des produits de santé thermosensibles. Contrôle quotidien et traçabilité des enceintes frigorifiques entre 2 et 8 degrés, surveillance de la température ambiante des locaux de stockage des médicaments, maintenue en dessous de 25 degrés.
En attendant les programmes à la présidentielle, nous prenons le taureau par les cornes et osons lancer ce débat !
Dispute annuelle d’automne et d’hiver en France. Elle éclate chaque année au bureau, en copropriété, en famille, au bureau : faut il couper le chauffage la nuit et le week end, ou le laisser tourner en baissant la température ?
Chaque camp a ses certitudes. Les partisans de l’arrêt : « chauffer des pièces vides, c’est jeter l’argent par les fenêtres ». Les partisans du maintien : « relancer un bâtiment froid consomme plus que ce qu’on a économisé, tout le monde sait ça ».
Bonne nouvelle : la physique tranche une bonne partie du débat, la loi française a déjà tranché le reste au degré près (bonne nouvelle…?).
La réponse fine dépend de votre bâtiment, de son isolation et de son poids. Ce que les deux camps oublient toujours. Voici l’article à ressortir à chaque dispute, sources officielles à l’appui.
1. Deux idées simples qui règlent le débat
Première idée : plus un bâtiment est chaud, plus il perd de chaleur. Un bâtiment chauffé fuit en permanence, par ses murs, ses fenêtres, son toit et l’air qu’il renouvelle. Et cette fuite a un moteur : l’écart entre la température intérieure et la température extérieure. Un bureau à 19 degrés quand il en fait 5 dehors perd sa chaleur à travers 14 degrés d’écart ; le même bureau à 16 degrés ne fuit plus qu’à travers 11 degrés d’écart, soit environ un cinquième de pertes en moins, à chaque heure. Pour l’illustrer : le bâtiment est un seau percé (la ventilation), et le niveau d’eau, c’est la température. Plus le seau est rempli, plus les fuites débitent. Maintenir 19 degrés toute la nuit pour personne, c’est garder le seau à ras bord pour arroser le trottoir. La conséquence est directe, et l’ADEME la chiffre : chaque degré en moins, c’est environ 7% de consommation de chauffage en moins [3]. Baisser gagne, toujours.
Deuxième idée : la relance du lundi ne coûte pas plus cher, c’est un mythe. L’argument du camp du maintien semble frappé au coin du bon sens : remonter tout un bâtiment froid, cela doit bien engloutir ce qu’on a économisé ? Non, et voici pourquoi, sans aucune formule. La relance ne fait qu’une chose : remettre dans le bâtiment la chaleur qu’il a perdue pendant l’absence, ni plus, ni moins. Or un bâtiment qu’on a laissé refroidir a moins fui qu’un bâtiment maintenu au chaud, puisqu’il était plus froid, donc plus proche de la température extérieure, donc moins fuyard, c’est notre première idée. Il y a donc moins de chaleur à remettre qu’on n’en aurait dépensé à maintenir. Le pic de consommation du lundi matin impressionne, et c’est lui qui nourrit la légende ; mais c’est un sprint de 30 secondes qui remplace un marathon de 5 heures. Cela rembourse une dette réduite, là où le maintien paie un péage à chaque heure du week-end. Les thermiciens le démontrent rigoureusement en comparant les degrés heures des deux scénarios, ce cousin du degré jour unifié que nous avons présenté dans un précédent article [6] ; retenons la conclusion, qui vaut un premier théorème : baisser ou couper consomme toujours moins que maintenir.
À ce stade, un lecteur pressé conclurait : coupons tout, tout le temps. Ce serait aller trop vite. La question suivante, c’est : dans votre bâtiment à vous, couper a-t-il plus d’impact que baisser ? Pour y répondre proprement, ouvrons le capot une minute : les équations sont simples, et elles disent tout.
2. Pour les curieux : la démonstration en trois équations
Cette partie s’adresse à ceux qui veulent la preuve complète ; les autres peuvent la survoler et retrouver le fil à la partie suivante, ils ne perdront que le plaisir de la démonstration.
Première équation : la fuite.
La puissance de chauffage qu’un bâtiment réclame à chaque instant pour tenir sa température s’écrit, et c’est la base du dimensionnement de tout chauffage selon la norme européenne en vigueur [7] :
Pertes = G × (Tint − Text)
Tint est la température intérieure, Text la température extérieure, et G le coefficient de déperdition du bâtiment, exprimé en kilowatts par degré d’écart : un seul nombre qui résume la qualité de l’enveloppe, murs, vitrages, étanchéité et ventilation comprises. Un bâtiment bien isolé a un G petit, une passoire a un G énorme (et d’ailleurs son DPE sera G, ce qui est un hasard !). Les lecteurs de notre épisode sur l’isolation reconnaîtront un vieil ami : c’est ce même coefficient G que la première réglementation thermique française, celle de 1974, imposait déjà de limiter [5]. Appliquons la avec des chiffres ronds, que nous garderons jusqu’au bout : un bâtiment tertiaire de G = 2 kilowatts par degré, un week end à 5 degrés dehors. À 19 degrés dedans, l’écart est de 14 degrés et le bâtiment exige en permanence 2 × 14 = 28 kilowatts. À 16 degrés, l’écart tombe à 11 et la demande à 22 kilowatts : trois degrés de réglage, plus de 20% de puissance en moins, à chaque heure.
Deuxième équation : la consommation d’une période est une aire.
Puisque la fuite de chaque heure vaut G fois l’écart de température du moment, la chaleur perdue sur tout un week-end s’obtient en additionnant ces écarts heure par heure. Les thermiciens appellent cette somme les degrés heures : c’est l’aire comprise entre la courbe de la température intérieure et celle de la température extérieure [6][8]. D’où la formule de la période :
Énergie consommée = G × degrés heures de la période
Et voici l’argument qui tue le mythe de la relance, en toute rigueur. Comparons deux week-ends qui commencent au même point, vendredi 18 heures à 19 degrés, et finissent au même point, lundi 8 heures revenus à 19 degrés. Entre ces deux instants identiques, le bâtiment n’a ni gagné ni perdu de chaleur en stock : tout ce que le chauffage a fourni, relance du lundi comprise, a exactement compensé ce qui a fui. La consommation du cycle complet, c’est donc G fois l’aire, un point c’est tout. Or la courbe du week end réduit ou coupé est, à chaque instant, en dessous de la ligne droite du week end maintenu à 19 : son aire est forcément plus petite, donc sa consommation aussi. C’est un théorème, pas une opinion : relance comprise, baisser ou couper consomme toujours moins que maintenir. Sur notre exemple : maintien à 19, un écart de 14 degrés pendant 60 heures, soit 840 degrés heures et 1 680 kilowattheures ; réduit à 16, environ 660 degrés heures et 1 320 kilowattheures, un cinquième d’économie ; arrêt complet dans une version légère du même bâtiment qui glisse jusque vers 8 degrés, autour de 840 kilowattheures, la moitié du maintien. La relance du lundi est déjà comptée dans tous ces chiffres, puisque c’est le cycle entier que l’équation mesure.
Troisième équation : la vitesse de refroidissement. Reste à savoir jusqu’où descend un bâtiment coupé, et c’est ici qu’entre en scène la grandeur qui commande toute la partie suivante : la constante de temps, notée tau, définie par
tau = C ÷ G
où C est l’inertie du bâtiment, la chaleur stockée dans ses murs et ses dalles, et G toujours sa fuite. Chauffage coupé, la température ne tombe pas en ligne droite : elle glisse vers la température extérieure en ralentissant sans cesse, vite au début, interminablement à la fin, exactement comme un café brûlant refroidit vite puis tiédit sans fin ; tau mesure la lenteur de cette glissade, et cette notion d’inertie est si structurante que la méthode de calcul réglementaire française la prend explicitement en compte [8][9]. Un bâtiment léger et mal isolé, petit C et gros G, a un tau de quelques heures : coupé le vendredi, il rejoint presque la température extérieure avant le lundi. Un bâtiment massif et bien isolé, gros C et petit G, a un tau de plusieurs jours : coupé le vendredi, il n’a perdu que 4 ou 5 degrés le lundi matin. Tout le débat « couper ou baisser » tient dans ce seul nombre, et la partie suivante le traduit en langage courant.
3. Tout dépend de votre bâtiment : l’isolation change la réponse
Voici le chapitre que les deux camps de la dispute oublient systématiquement : la réponse n’est pas la même selon le bâtiment, et c’est l’isolation, alliée à l’inertie, qui fait la différence. Prenons deux bâtiments face au même week-end d’hiver, chauffage coupé le vendredi soir.
Le premier est une passoire légère, construction d’avant 1974, murs minces, simple flux, préfabriqué. Privé de chauffage, il se vide de sa chaleur comme un bol de soupe oublié sur la table : en quelques heures, sa température plonge, et le lundi matin, il fait presque aussi froid dedans que dehors. Dans ce bâtiment, l’écart entre couper et baisser est énorme. Le laisser descendre en chute libre économise beaucoup, bien plus qu’un réduit à 16 degrés qu’il faudrait activement soutenir tout le week-end tant il fuit. Mais la médaille a son revers : la remontée du lundi est longue et brutale, les murs glacés mettent des heures à se réchauffer, et les occupants du lundi matin le sentent. La passoire est le seul cas où le camp du « on coupe tout » a franchement raison sur l’énergie, et le seul où il en paie vraiment le prix en confort.
Le second est un bâtiment isolé et massif, murs épais et bien isolés, dalles de béton, construction récente ou rénovée. Privé de chauffage le vendredi, il se comporte comme un thermos : sa masse a stocké énormément de chaleur, son isolation l’empêche de fuir, et sa température glisse avec une lenteur remarquable, quelques degrés à peine d’ici le lundi. Nos lecteurs de l’épisode sur l’isolation reconnaîtront le duo à l’œuvre, celui de notre troisième équation : l’inertie C, la réserve de chaleur des murs, et le coefficient G, la fuite ; leur rapport, la constante de temps, est ici de plusieurs jours. Et dans ce bâtiment, voici le verdict qui clôt bien des disputes : couper ou baisser à 16, c’est exactement pareil. Coupé, il ne descendra de toute façon jamais jusqu’à 16 avant le lundi ; le thermostat réglé à 16 ne se déclenchera donc jamais ; les deux scénarios sont identiques au degré près. La grande dispute du vendredi soir y est, littéralement, sans objet. Le seul vrai gaspillage, dans un bâtiment isolé, c’est de maintenir 19.
Entre ces deux extrêmes, tous les bâtiments réels se placent quelque part sur l’échelle, et c’est pour cela qu’aucune réponse universelle ne circule dans les dîners : chacun a raison pour son bâtiment et tort pour celui du voisin. La passoire gagne gros à couper, le thermos ne gagne rien de plus qu’à baisser, et dans les deux cas, celui qui maintient 19 degrés tout le week-end perd. Au passage, on comprend aussi pourquoi le débat s’éteindra de lui-même avec les années : plus la France isole, plus ses bâtiments deviennent des thermos, et plus la question « couper ou baisser » perd son enjeu au profit de la seule qui compte, baisser à combien.
4. Ce que dit la loi : le débat est tranché par décret, au degré près
Voici maintenant la partie moins connue, y compris chez les professionnels. Le code de l’énergie ne se contente pas de fixer la fameuse limite des 19 degrés en occupation ; il réglemente aussi la température des locaux inoccupés.
L’article R. 241-26 du Code de l’Energie pose la base : dans les logements, bureaux, locaux d’enseignement et établissements recevant du public, la température moyenne de chauffage est limitée à 19 degrés en dehors des périodes d’inoccupation [1]. Et l’article R. 241-27 enchaîne, avec une précision que l’on croirait écrite pour trancher notre dispute : lorsque les locaux sont inoccupés pendant 24 à 48 heures consécutives, la limite descend à 16 degrés ; au-delà de 48 heures, elle tombe à 8 degrés [2]. Ces textes, hérités des chocs pétroliers et codifiés par le décret du 30 décembre 2015, sont toujours en vigueur [2].
Voilà la doctrine officielle complète
Un week end ordinaire : la loi impose 16 degrés maximum.
Un pont, des vacances, une fermeture : 8 degrés (en hors-gel).
Notez la subtilité : même pour les longues absences, la loi ne dit jamais zéro, elle dit 8. Ni éteindre, ni maintenir : baisser, beaucoup, mais pas jusqu’au gel. Ce plancher n’est pas une timidité, et la partie suivante explique ce qu’il protège.
5. Les trois pièges de l’arrêt total
Si baisser gagne toujours en énergie, trois réalités de terrain viennent malgré tout punir l’arrêt complet mal placé, et ce sont elles qui donnent, parfois, raison au camp du maintien.
Le piège de la pompe à chaleur. C’est la nuance moderne du débat, à l’heure où les PAC remplacent les chaudières à gaz. Prolongeons nos équations d’un facteur : la facture n’est pas l’énergie utile, c’est l’énergie utile divisée par le rendement de production. Une chaudière garde un rendement à peu près stable, l’équation du week-end reste donc vraie jusque sur sa facture. Une pompe à chaleur, non : son rendement, le COP, ce coefficient qui dit combien de kilowattheures de chaleur elle livre pour un kilowattheure d’électricité, se dégrade quand on lui demande de produire vite et fort à basse température extérieure, et beaucoup d’installations basculent alors sur une résistance électrique d’appoint qui chauffe trois fois plus cher [10]. Une relance brutale après un arrêt complet, c’est exactement ce scénario : l’aire économisée pendant l’arrêt peut se dissoudre dans le mauvais rendement de la remontée. Même prudence avec les émetteurs lents comme les planchers chauffants, qui demandent des heures. Avec ces équipements, le réduit modéré et progressif bat l’arrêt sec.
Le piège de la puissance. La relance ne coûte pas plus d’énergie, mais elle exige beaucoup plus de puissance d’un coup : il faut compenser les fuites et recharger les murs en même temps. Cette pointe du lundi matin peut dépasser la puissance souscrite du site, et les dépassements se paient, ou tout simplement excéder ce que la chaufferie sait fournir, et la remontée s’éternise. Moins on est descendu, plus la pointe est douce.
Le piège du froid qui abîme. Un local trop froid trop longtemps cesse d’économiser pour se dégrader. L’air chaud retient l’humidité ; quand les parois refroidissent, l’humidité se condense sur les points froids et les moisissures s’installent, avec les conséquences sur le bâti et la qualité de l’air que racontait notre dernier épisode. S’ajoutent le risque de gel des canalisations et l’inconfort de la reprise : dans une pièce aux murs froids, on a froid même quand l’air est remonté à 19, c’est l’effet de paroi froide, et les occupants compensent en poussant les consignes. Voilà ce que protège le plancher légal des 8 degrés.
6. Le tableau final, selon la durée et selon le bâtiment
Résumons la doctrine complète. Pour une nuit ou une journée d’absence : on baisse, on ne coupe pas ; l’ADEME recommande 19 degrés en occupation et 16 à 17 degrés la nuit [3]. Pour un week end : réduit franc à 16 degrés, c’est la loi autant que l’optimum, et dans un bâtiment bien isolé, c’est de toute façon équivalent à couper [2]. Pour une absence de plusieurs jours : réduit profond vers les 8 degrés réglementaires, un peu plus haut dans les bâtiments sensibles à l’humidité [2][3].
Et l’arrêt total ? Il ne garde d’intérêt réel que dans le cas qui cumule tout : bâtiment léger et mal isolé qui refroidit vite, émetteurs rapides, chaudière au rendement stable, absence longue, aucun risque de gel ni d’humidité. C’est le pavillon peu isolé aux convecteurs électriques, fermé pour les vacances. Partout ailleurs, et dans tout le tertiaire isolé, le réduit bien choisi fait aussi bien en énergie, et mieux en facture, en confort et en préservation du bâtiment.
7. La solution : ni éteindre, ni baisser. Programmer.
Reste la dernière difficulté, celle qui fait échouer les meilleures intentions : quand relancer ? Trop tôt, et l’on chauffe des heures pour personne, c’est le cas de l’immense majorité des bâtiments tertiaires, dont les horloges sont réglées avec une marge de précaution héritée du jour le plus froid de l’hiver dernier. Trop tard, et les occupants arrivent dans le froid, réclament des chauffages d’appoint, et la direction enterre le réduit pour dix ans.
C’est précisément le problème que les automatismes modernes ont résolu, et notre troisième équation dit comment : l’heure de relance idéale dépend de la constante de temps du bâtiment et de la température extérieure, deux grandeurs qui se mesurent. Une régulation évoluée, celle qu’exige le décret BACS pour les grandes installations tertiaires, apprend le tau réel du bâtiment, consulte la météo, et calcule chaque nuit l’heure exacte de redémarrage pour atteindre 19 degrés à la minute où les premiers occupants franchissent la porte ; c’est la fonction d’optimisation que la norme internationale sur les automatismes du bâtiment classe parmi les plus rentables, l’écart entre une gestion médiocre et une gestion performante se chiffrant en dizaines de pour cent sur l’énergie thermique [4][11]. Résultat : le réduit le plus profond et le plus long possible, sans une minute d’inconfort, et une heure de relance qui varie chaque jour au lieu d’être figée au pire cas. Le débat « éteindre ou baisser » est, au fond, un débat d’équipement pauvre : c’est parce qu’on ne disposait que d’un interrupteur qu’on se disputait entre tout et rien.
La conclusion tient en trois phrases, à ressortir à chaque dispute d’automne.
Baisser gagne toujours contre maintenir, et le mythe de la relance ruineuse est faux : on ne remet que la chaleur perdue, et un bâtiment plus froid en a perdu moins.
Couper, c’est mieux que baisser dans les bâtiments mal isolés, et se paie ailleurs en rendement, en humidité ou en confort : plus votre bâtiment est isolé, plus la question disparaît d’elle même.
Et la vraie performance n’est ni dans l’interrupteur ni dans le statu quo : elle est dans l’automatisation qui donne à chaque heure de la semaine la température juste.
Un bâtiment bien piloté n’est jamais ni allumé ni éteint ; il est exactement à la température qu’exige le moment.
Sources
Article R. 241-26 du code de l’énergie : limite moyenne de 19 degrés pour le chauffage des locaux d’habitation, d’enseignement, de bureaux ou recevant du public, en dehors des périodes d’inoccupation, Légifrance.
Article R. 241-27 du code de l’énergie, issu du décret n° 2015-1823 du 30 décembre 2015 : limites de température moyenne de chauffage fixées à 16 degrés pour une inoccupation de 24 à 48 heures et à 8 degrés au delà de 48 heures, Légifrance.
ADEME, recommandations sur les températures de chauffage (19 degrés en occupation, 16 à 17 degrés la nuit, réduit renforcé en absence prolongée) et ordre de grandeur d’environ 7 pour cent de consommation de chauffage par degré.
Décret n° 2020-887 du 20 juillet 2020 modifié relatif au système d’automatisation et de contrôle des bâtiments non résidentiels (décret BACS), Légifrance ; fonctions de régulation et d’optimisation de relance définies par les normes européennes applicables à la gestion technique du bâtiment.
Arrêté du 10 avril 1974 relatif à l’isolation thermique et au réglage automatique des installations de chauffage, Légifrance (première réglementation thermique française et coefficient G de déperdition).
Physique du bâtiment : bilans en degrés heures et degrés jours unifiés, méthodes professionnelles de suivi des consommations (COSTIC, ADEME) ; voir notre article « Comprendre le degré jour unifié » sur foorier.fr.
Norme NF EN 12831-1, Performance énergétique des bâtiments, méthode de calcul de la charge thermique nominale : déperditions proportionnelles à l’écart entre température intérieure et température extérieure de base.
Normes NF EN ISO 52016 et 13790, calcul des besoins d’énergie pour le chauffage : bilans horaires et mensuels, prise en compte de l’inertie thermique et de la constante de temps du bâtiment.
Méthodes de calcul réglementaires françaises Th-BCE et RE2020 (arrêté du 4 août 2021), CSTB : classes d’inertie thermique et comportement dynamique des bâtiments, Légifrance.
ADEME, guides sur les pompes à chaleur : variation du coefficient de performance selon les conditions de fonctionnement et rôle de l’appoint électrique.
Norme NF EN ISO 52120-1 (anciennement EN 15232), Contribution de l’automatisation à la performance énergétique des bâtiments : classes A à D des systèmes de gestion technique et gains associés, dont les fonctions d’optimisation de relance.
15 février 2021, 1 heure 25 du matin. Dans la salle de contrôle du réseau électrique texan, près d’Austin, des opérateurs prennent la pire décision de leur carrière : couper volontairement le courant à des millions de foyers, en pleine nuit, par un froid polaire [1][9]. Et pourtant, ce n’est pas le pire moment de leur nuit.
Le pire arrive quelques heures plus tard, et il tient en une durée devenue célèbre : 4 minutes et 37 secondes [4]. Un réseau électrique, c’est un équilibre permanent : à chaque seconde, il faut produire exactement ce qui est consommé. Quand la production s’effondre, tout le système se met à vaciller, comme un cœur dont le rythme ralentit dangereusement. Ce matin là, le cœur électrique du Texas ralentit sous le seuil critique et y reste 4 minutes et 23 secondes. Les enquêteurs calculeront qu’il restait 4 minutes et 37 secondes avant que les centrales encore debout ne se déconnectent automatiquement pour se protéger, provoquant le noir total sur tout l’État, avec des semaines pour tout rallumer [4]. Le deuxième État le plus peuplé des États-Unis, capitale mondiale du pétrole, est passé à moins de cinq minutes du grand plongeon.
Voici l’histoire de cette semaine où le Texas a déraillé : environ 250 morts, des factures d’électricité à 10 000 dollars, des centrales gelées sur pied. Et surtout le plus troublant : tout était écrit, mot pour mot, dans un rapport officiel publié dix ans plus tôt. Chaque fait de cet article provient des rapports d’enquête officiels listés en fin de texte.
Première chose à savoir, que le reste du monde ignore : le Texas possède son propre réseau électrique, séparé du reste des États-Unis. Le pays compte trois grands réseaux : celui de l’Est, celui de l’Ouest… et le Texas, tout seul [6].
Ce n’est pas la géographie qui l’a voulu, c’est la politique. Dans les années 1930, quand Washington a obtenu le droit de réguler l’électricité qui circule entre les États, les compagnies texanes ont soigneusement évité de franchir les frontières. Pas de frontière franchie, pas de contrôle fédéral. Le Texas s’est construit en île électrique volontaire, et en tire fierté depuis un siècle [6][10].
Le problème d’une île, c’est qu’on n’y reçoit pas de secours. Quand le Texas manque de courant, presque personne ne peut lui en envoyer : ses liaisons avec les voisins sont minuscules. Le destin d’El Paso, à la pointe ouest de l’État, le prouvera cruellement : cette ville texane a la particularité d’être branchée sur le réseau de l’Ouest américain, et ses centrales avaient été préparées au froid après une alerte en 2011. Elle traversera la même tempête presque sans coupure, pendant que le reste de l’État sombrait [6][12]. Mêmes températures, autre organisation, autre destin.
Dernier détail qui va compter : au Texas, préparer les centrales au froid, ce que les ingénieurs appellent l’hivernage, protéger les tuyaux, chauffer les instruments, abriter les équipements, n’était pas obligatoire. Simple recommandation. Dans un État écrasé de chaleur neuf mois par an, personne n’avait envie de payer pour l’hiver [1][3].
Début février 2021, une masse d’air polaire s’échappe de l’Arctique et descend sur l’Amérique. Entre le 10 et le 20 février, trois tempêtes de neige balayent le Texas. Dallas descend sous les moins 18 degrés. La neige recouvre des villes qui ne possèdent ni chasse neige ni sel. Fait rarissime : les 254 comtés du Texas sont placés en alerte en même temps [1][6].
Retenez bien ceci : personne n’est surpris. La météo annonce la vague une semaine à l’avance, et l’opérateur du réseau alerte les producteurs plusieurs jours avant [1][4]. Mais on ne prépare pas des machines au grand froid en trois jours. L’hivernage se fait pendant l’été, ou ne se fait pas.
Le dimanche 14 au soir, des millions de Texans allument leurs chauffages, électriques pour la plupart. La demande de courant bat le record historique d’hiver. Et en face, les centrales tombent comme des dominos. Les instruments de mesure gèlent et mettent les machines en sécurité. Les pales des éoliennes se couvrent de glace. Le charbon gèle en tas. Surtout, le gaz, principale source d’électricité de l’État, gèle à la source : les puits et les conduites, non protégés, cessent de livrer, et des centrales en parfait état s’arrêtent, réservoir vide [1]. Même un réacteur nucléaire s’arrête, à cause d’un unique capteur d’eau gelé [1][10]. Au pire de la nuit, près de la moitié de la production de l’État est hors service [1][4].
À 1 heure 25, l’opérateur déclenche donc les coupures volontaires. Le principe est brutal mais nécessaire : sacrifier une partie des clients pour éviter que tout le réseau s’effondre. Ces coupures devaient tourner, une heure chacun. Mais le trou est si énorme qu’elles deviennent permanentes : plus de 4,5 millions de foyers et d’entreprises perdent le courant, jusqu’à quatre jours pour certains, par des nuits glaciales [1][2]. C’est le plus grand délestage organisé de l’histoire des États-Unis [1].
Et les coupures révèlent une impréparation de plus. Les lignes qui alimentent les hôpitaux sont épargnées, c’est normal. Mais tout ce qui partage ces lignes reste allumé aussi : des tours de bureaux vides et des enseignes brillent toute la nuit au dessus de quartiers entiers plongés dans le noir. Ces images de gratte ciels illuminés dominant des maisons gelées feront le tour du monde [12].
Alors la panne devient un drame humain, et il se joue dans les maisons. Les habitations texanes, légères et à peine isolées, construites contre la chaleur, se vident de leurs degrés en quelques heures ; des habitants mesurent des températures négatives dans leur salon. Les canalisations gèlent et éclatent par dizaines de milliers. Les stations d’eau, privées de courant, lâchent à leur tour : la moitié de l’État, environ 14 millions de personnes, doit faire bouillir son eau, quand il y en a [6]. Des familles brûlent leurs meubles, dorment dans la voiture moteur allumé.
Le bilan officiel s’élèvera à 246 morts, âgés de moins d’un an à 102 ans [5]. D’abord le froid lui même, y compris à domicile. Ensuite le monoxyde de carbone : des familles ont allumé barbecues et groupes électrogènes à l’intérieur pour se réchauffer [5]. Des études indépendantes estiment le vrai bilan encore plus lourd, autour de 700 morts [11][12]. Pendant ce temps, le sénateur du Texas Ted Cruz est photographié embarquant pour Cancún, au Mexique, en plein black out. Il rentrera précipitamment, sous le scandale [12].
La catastrophe a un deuxième étage, purement financier celui là, et typiquement texan.
Sur le marché texan, le prix de l’électricité est libre, et son plafond a été fixé très haut exprès : 9 000 dollars le mégawattheure, environ 300 fois le prix normal. L’idée : des prix qui explosent lors des tensions incitent à construire des centrales. Pendant la crise, le régulateur force donc le prix au plafond et l’y maintient plusieurs jours [8][9]. L’ironie est totale : ce prix était censé faire accourir la production. Mais on ne dégèle pas une centrale avec un signal de prix. Le marché hurlait, les machines n’entendaient rien. Les experts calculeront ensuite que le prix est resté au plafond environ 32 heures de trop, générant à lui seul quelque 16 milliards de dollars de surfacturation [8].
Pour la plupart des ménages, ces prix restent invisibles, absorbés par leur fournisseur. Mais des dizaines de milliers de Texans étaient clients de Griddy, un fournisseur qui répercutait le prix du marché en temps réel. Une aubaine en temps normal, une guillotine cette semaine là : des factures de plusieurs milliers de dollars s’affichent, certaines au delà de 10 000 dollars, prélevées automatiquement, parfois pendant que la maison était dans le noir [12]. Griddy sera banni puis liquidé. Plus haut dans la chaîne, la coopérative électrique Brazos, presque centenaire, reçoit une facture de 1,8 milliard de dollars pour la semaine, plus que ses trois dernières années d’achats réunies, et dépose le bilan [12]. Coût total de l’épisode, selon la banque centrale régionale de Dallas : entre 80 et 130 milliards de dollars, l’une des catastrophes les plus chères de l’histoire de l’État [7]. Les Texans la rembourseront sur leurs factures pendant des décennies.
Voici la partie qui transforme un drame météo en faillite d’organisation. Février 2021 n’était pas une première. C’était une rediffusion.
En février 2011, dix ans plus tôt presque jour pour jour, une vague de froid avait déjà gelé des centrales texanes et coupé le courant à des millions de clients, en plein Super Bowl organisé à Dallas. Les autorités fédérales de l’énergie avaient enquêté des mois et publié un épais rapport recommandant noir sur blanc : préparez vos centrales au froid, protégez vos installations de gaz, coordonnez le gaz et l’électricité [3]. Ce rapport rappelait même que le scénario s’était déjà produit en 1989. Deux catastrophes, deux rapports, zéro obligation : au Texas, tout est resté facultatif [3].
Dix ans plus tard, les enquêteurs de 2021 retrouvent des centrales tombées pour les mêmes causes, parfois les mêmes machines, gelées aux mêmes endroits [1][3]. Le président de l’autorité fédérale de l’énergie le dira publiquement, avec une amertume rare : les recommandations de 2011 n’ont pas été suivies, et ce nouveau rapport ne doit pas finir comme l’ancien, à prendre la poussière sur une étagère [2].
L’enquête révèle même une absurdité devenue cas d’école. Faute d’avoir recensé les installations prioritaires, les opérateurs ont coupé le courant, parmi d’autres clients, à des stations de pompage de gaz. Autrement dit : le réseau électrique a éteint lui même le gaz qui alimentait ses propres centrales, aggravant de ses mains la pénurie qui l’étranglait [1]. Personne ne savait qui dépendait de qui, parce que personne n’avait fait la carte.
Depuis, les choses ont bougé : la préparation au froid des centrales est devenue obligatoire au niveau fédéral, et le Texas a voté sa propre loi imposant l’hivernage et les inspections [12][13].
Résumons froidement. La technologie n’était pas en cause : des éoliennes tournent en Antarctique, des centrales à gaz chauffent la Sibérie, et El Paso, préparée, a passé la tempête sans encombre. Ce qui a failli, c’est l’organisation : un système prévenu une semaine à l’avance, averti par deux rapports en trente ans, qui ne s’était pas préparé, n’avait pas cartographié ses dépendances, et a découvert son propre fonctionnement pendant la panne, à 4 minutes et 37 secondes du noir total. Tout était prévisible pour qui mesurait. Rien n’était piloté.
Cette leçon dépasse largement le Texas, car un bâtiment est un petit réseau : des équipements qui dépendent les uns des autres, des usages vitaux et d’autres qui peuvent attendre, des fragilités qui ne se révèlent que dans l’extrême. Transposons les erreurs texanes une à une. L’hivernage jamais fait, c’est la maintenance préventive toujours repoussée parce que tout fonctionne encore. La carte des priorités jamais dressée, c’est le gestionnaire incapable de dire quel tableau électrique alimente quoi, et qui le découvre le jour de la coupure. La station de gaz coupée par erreur, c’est la chambre froide ou le serveur branchés sur un circuit anodin que personne n’avait repéré. Le prix qui hurle dans le vide, c’est l’alerte que personne ne lit.
Pendant la crise, les organisations qui ont tenu sont celles qui connaissaient leurs installations, savaient quoi couper en premier et mesuraient en continu. Les autres ont subi. Recenser ses équipements critiques, suivre ses consommations, connaître ce qui tourne quand tout devrait être éteint, tester ses scénarios avant d’en avoir besoin : ce que les autorités américaines recommandent aux réseaux depuis 2021, c’est mot pour mot le quotidien du pilotage énergétique d’un patrimoine immobilier. Le Texas a payé jusqu’à 130 milliards de dollars et au moins 246 vies pour redécouvrir une évidence : on ne gouverne que ce qu’on mesure, et une installation qu’on ne pilote pas finit toujours par vous piloter. La prochaine vague de froid, ou de chaleur, préviendra comme celle ci : une semaine à l’avance. Une semaine, c’est très long pour qui est prêt. C’est une éternité pour qui ne l’est pas.
FERC, NERC et entités régionales de fiabilité, « The February 2021 Cold Weather Outages in Texas and the South Central United States », rapport final d’enquête conjointe, 16 novembre 2021.
FERC, communiqués officiels de 2021 et déclarations de son président Richard Glick sur les recommandations de 2011 restées sans suite.
FERC et NERC, rapport d’enquête sur la vague de froid de février 2011 dans le Sud-Ouest américain, août 2011, avec rappel de l’épisode de 1989.
The University of Texas at Austin, Energy Institute, « The Timeline and Events of the February 2021 Texas Electric Grid Blackouts », juillet 2021.
Texas Department of State Health Services, bilan officiel des décès de la tempête de février 2021 : 246 morts.
Texas Comptroller of Public Accounts, « Winter Storm Uri 2021 », Fiscal Notes, octobre 2021.
Federal Reserve Bank of Dallas, évaluations du coût économique, de 80 à 130 milliards de dollars.
Potomac Economics, observateur indépendant du marché texan, analyse du maintien du prix plafond environ 32 heures de trop et de la surfacturation d’environ 16 milliards de dollars.
Public Utility Commission of Texas et ERCOT, ordres de délestage du 15 février 2021 et décisions de prix.
American Institute of Chemical Engineers, « Learning from the 2021 Texas Power Outages », 2023.
Analyses indépendantes de surmortalité relayées par la presse texane, estimations autour de 700 décès.
The Texas Tribune, couverture de référence de la crise et de ses suites : Griddy, faillite de Brazos, loi texane SB3 de 2021.
FERC, suivi des normes obligatoires de préparation au froid approuvées à partir d’août 2021.
À l’approche du 30 septembre, des milliers d’assujettis vont saisir leurs consommations 2025 sur OPERAT. La plupart des erreurs commises à cette occasion ne se voient pas tout de suite. C’est bien le problème : elles se paient en 2030.
Déclarer sur OPERAT ressemble à une formalité : des cases, des kilowattheures, un bouton « valider ». Mais chaque choix effectué sur la plateforme engage la trajectoire du bâtiment pour des années — et maintenant que l’attestation s’affiche dans les halls, une donnée bancale finit par se lire sur les murs. Revue des erreurs les plus fréquentes, de la plus visible à la plus sournoise.
Erreur n°1 · Le périmètre flou : qui déclare quoi ?
C’est la mère de toutes les erreurs. OPERAT raisonne à l’échelle de l’entité fonctionnelle assujettie (EFA), pas du bail, pas de la société, pas du site au sens courant. Dans un immeuble multi-occupants, la question « qui déclare quoi » se pose pour chaque périmètre : les lots des preneurs comme les équipements communs. Résultat classique quand elle n’a pas été tranchée : des consommations de chaufferie collective comptées deux fois — par le bailleur et par un locataire zélé — ou pas du tout, chacun pensant que l’autre s’en chargeait. La répartition des rôles entre propriétaire, exploitant et gestionnaire doit être écrite noir sur blanc avant de toucher à la plateforme, idéalement dans le bail. La règle n’est pas « qui déclare », mais « qui est responsable de quelles données ».
Erreur n°2 · L’année de référence choisie à la légère
Le dispositif permet de choisir son année de référence entre 2010 et 2019. Ce choix, fait une fois, conditionne tout le reste : c’est par rapport à lui que se mesurent les −40 % de 2030. Deux pièges symétriques. Le premier : confondre année de référence et année de déclaration — la première sert de base au calcul des objectifs, la seconde correspond aux consommations réelles de l’année écoulée. Le second, plus coûteux : choisir une année de référence « sage », peu consommatrice, par exemple parce que le bâtiment était partiellement vide ou en travaux. On croit bien faire, on se fabrique en réalité une montagne à gravir : partir d’une base basse, c’est devoir réduire encore en dessous. L’année de référence pertinente est au contraire une année pleine, représentative, documentée par douze mois de factures. C’est un choix stratégique, pas une case administrative.
Erreur n°3 · Les surfaces qui ne collent pas avec les consommations
Un ratio de consommation incohérent avec la surface et l’activité déclarées finit toujours par se voir — à la lecture de l’attestation, lors d’un contrôle, ou simplement en comparant avec les valeurs de référence de son secteur. Derrière ces incohérences, presque toujours le même trio : une surface obsolète (extension non reportée, surfaces de plancher confondues avec les surfaces utiles), un compteur commun affecté au mauvais lot, ou un changement d’activité non déclaré. Vérifier ses ratios par rapport aux références de son secteur avant de valider prend dix minutes et évite des mois de corrections.
Erreur n°4 · Les consommations reconstituées de tête
C’est l’erreur invisible, et la plus répandue. Quand l’OID a analysé pour l’ADEME les premières données déclarées sur OPERAT, elle a constaté sur les bureaux parisiens un écart de 29 % entre les consommations issues de son propre baromètre (162 kWh/m²/an) et celles déclarées sur la plateforme (126 kWh/m²/an) — un écart qui ne s’explique pas par une différence de représentativité des échantillons. Autrement dit : une partie du parc déclare des consommations qui ne correspondent pas à la réalité mesurée. Estimations au prorata, factures manquantes comblées par extrapolation, ventilation par usage faite au doigt mouillé… Tant que la déclaration restait confidentielle, personne ne s’en souciait. Avec l’affichage de l’attestation et la traçabilité exigée par l’arrêté du 1er août 2025, la donnée approximative devient une bombe à retardement : chaque chiffre nourrit une note visible de tous. Batiweb
Erreur n°5 · La déclaration figée dans le temps
OPERAT n’est pas un formulaire qu’on remplit une fois : c’est un observatoire qui suit le bâtiment dans la durée. Des travaux de rénovation, un changement d’activité, une extension modifient les valeurs de référence et les objectifs — ne pas actualiser la plateforme revient à déclarer des données erronées, en toute bonne foi. Même logique pour les évolutions réglementaires : les coefficients de correction climatique ont été intégralement renouvelés fin 2025, et une déclaration bâtie sur les anciennes valeurs raconte une trajectoire qui n’existe plus.
Erreur n°6 · Tout faire fin septembre
La dernière erreur n’est pas dans la plateforme, elle est dans l’agenda. Collecter douze mois de factures multi-fluides, les ventiler par énergie et par usage pour chaque EFA, faire valider les périmètres par le bailleur ou les preneurs : ce circuit prend des semaines, pas des jours — surtout quand il faut réclamer des données à un fournisseur ou à un syndic en période de pointe. Ceux qui découvrent en septembre qu’il manque un trimestre de factures de gaz déclarent dans l’urgence, donc mal. Et une déclaration bâclée en 2026 devient la donnée de comparaison de 2027.
Le point commun de toutes ces erreurs
Périmètre flou, année de référence hasardeuse, surfaces obsolètes, chiffres reconstitués, données figées, collecte tardive : toutes ces erreurs ont la même racine. Le bâtiment ne se mesure pas lui-même. Quand les consommations remontent automatiquement, par zone et par usage, depuis un système de gestion technique correctement exploité, la déclaration OPERAT cesse d’être un exercice annuel de reconstitution pour devenir une simple extraction. C’est exactement le rôle d’un BACS bien conçu : produire en continu les données fiables que le régulateur demande une fois par an et fournir, entre deux déclarations, les leviers pour que la note affichée dans le hall raconte une histoire qui s’améliore.
Sources
Décret n° 2019-771 du 23 juillet 2019 relatif aux obligations d’actions de réduction de la consommation d’énergie finale dans des bâtiments à usage tertiaire, Légifrance.
Arrêté du 10 avril 2020 relatif aux obligations d’actions de réduction des consommations d’énergie finale dans des bâtiments à usage tertiaire, Légifrance.
Arrêté du 1er août 2025 modifiant l’arrêté du 10 avril 2020, JORF du 6 septembre 2025, Légifrance.
OID, « Décret tertiaire : OPERAT livre ses premiers enseignements », analyse des données déclarées sur OPERAT 2022-2023 réalisée dans le cadre d’une mission ADEME.
Chroniques d’une pré-visite BACS en pleine canicule : la réalité du terrain
Nous sommes en plein mois de juin 2026, deuxième canicule de l’été. C’est dans ce contexte que j’ai effectué des visites d’EHPAD pour les travaux de conformité BACS dans les Hautes-Alpes et dans les Pyrénées-Orientales. La chance était de mon côté, la climatisation marchait dans mon train !
Me voici alors dans un EHPAD en périphérie, la tête dans l’armoire de régulation située en chaufferie. Autour de moi, le ronronnement continu des pompes de circulation et la chaleur étouffante du sous-sol. Je discute avec un technicien de maintenance qui intervenait sur le site. Je lui demande si la régulation des unités intérieures est déjà centralisée ou si on peut facilement les interfacer : “Oh là là, malheureuse ! La clim souffle du froid, c’est déjà pas mal !”.
Cette réaction n’a rien de malveillant. Elle illustre parfaitement la priorité du terrain : garantir un fonctionnement simple et stable… face à une réglementation BACS qui pousse vers une connectivité parfois perçue comme une couche de complexité en plus. Pour les équipes d’exploitation, l’urgence est d’éviter le coup de chaud ou l’appel d’urgence du personnel soignant. La gestion de la donnée, elle, passe au second plan.
Le mythe des équipements « en carafe »
Dans des résidences vieillissantes, on s’attend à trouver des CTA (Centrales de traitement de l’air) mourantes, des chaudières hors d’âge ou des systèmes à remplacer pour des centaines de milliers d’euros. Souvent, la réalité est tout autre : les équipements fonctionnent pour la plupart, les chaudières en cascade condensent, les pompes de bouclage et de charge tournent, les CTA soufflent, et les armoires hébergent des automates robustes. Le problème n’est pas mécanique mais réside dans l’accessibilité numérique. Les données du bâtiment sont emprisonnées dans la chaufferie surchauffée au sous-sol. Ou sur l’écran tactile d’une CTA exposé à la pluie et au plein soleil sur le toit. Ces systèmes disposent souvent de leurs propres adresses IP locales, d’interfaces web figées ou de bus de terrain (Modbus RS485 ou BACnet ou autre) qui ne communiquent pas avec les autres systèmes. Parfois, faute de Dossier des Ouvrages Exécutés (DOE) à jour, plus personne ne sait même comment accéder aux paramétrages des équipements.
Le bâtiment produit de l’information en continu (températures de soufflage, pressions, alarmes d’extraction). Cette information ne sert à personne, bien que les techniciens et le personnel veuillent réguler le rafraîchissement de manière agile en fonction de l’exposition des façades.
Trois acteurs et un découplage : la chaîne cassée du pilotage énergétique
Trois acteurs sont concernés dans ce cas de figure :
Le propriétaire : il paie les factures, a l’obligation légale du décret BACS mais le pilotage du bâtiment reste une boîte noire. Il sait qu’il doit investir pour la transition énergétique, mais navigue à vue sans aucun tableau de bord consolidé sur l’ensemble de son patrimoine.
Le mainteneur : il veut éviter les pannes lourdes, et pour qui la régulation fine ou la connectivité est perçue comme un risque ou une surcharge inutile. Son contrat l’engage sur des températures de consigne globales et de la continuité de service, pas sur l’optimisation au kilowattheure près.
L’utilisateur sur le terrain : le personnel et les résidents subissent l’inconfort l’été ou les hottes de cuisine capricieuses. C’est aussi le chef cuisinier qui s’agace contre une extraction qui saute en pleine préparation, ou la soignante qui voit la température grimper dans les chambres plein Sud alors que la consigne de ventilation est figée à 24°C pour tout l’établissement.
Ce découplage a parfois pour conséquence des consignes de température non décidées par les personnes concernées, et appliquées à tout le bâtiment faute de granularité, ce qui crée du gaspillage énergétique et de l’inconfort, notamment en pleine canicule.
L’enquête terrain : construire la BOM, passeport du bâtiment connecté
Avant d’installer le moindre capteur, tout commence par une enquête de police et d’archéologie technique. Sur le terrain, mon objectif principal est de dresser notre BOM (Bill of Materials) : une cartographie minutieuse qui identifie, pièce par pièce et équipement par équipement, tout ce qui devra être intégré dans le BACS.
L’audit ne se limite pas à la chaufferie : il balaye l’intégralité du bâtiment et détaille les matériels à intégrer dans chaque zone :
En chaufferie et sous-sol (la génération) : on inventorie les automates existants et les cascades de chaudières. On y identifie l’impact direct : l’ajout d’une carte d’interface pour dialoguer avec la régulation, le montage de passerelles Modbus RTU/Ethernet, et l’installation d’alimentations en courant continu dédiées dans l’armoire.
Au TGBT et dans les locaux techniques (le comptage) : on passe au crible les arrivées électriques et fluides. On planifie la pose de compteurs au niveau du départ de la buanderie ou des cuisines, la fixation de débitmètres avec sondes thermiques directement sur les tuyauteries, et le raccordement d’émetteurs d’impulsions LoRaWAN sur les compteurs généraux d’eau et de gaz.
Dans les chambres, bureaux et zones de vie (l’émetteur et le confort) : c’est là que l’impact est le plus concret pour les occupants. Dans chaque chambre ou zone rafraîchie, on identifie les unités intérieures de climatisation pour y intégrer une passerelle Wi-Fi. On prévoit des capteurs d’ambiance température/humidité discrètement positionnés, des têtes thermostatiques connectées sur les radiateurs, ou des modules de régulation pour planchers chauffants.
En toiture et en cuisine (la ventilation et l’extraction) : sur les Centrales de Traitement d’Air (CTA) et les caissons d’extraction de VMC ou de cuisine, la pré-visite détermine les relais connectés à installer.
Dans la baie informatique : on vérifie les switches du site et l’emplacement où sera implanté le cerveau du réseau : un mini-serveur local souverain, son alimentation et la passerelle LoRa/BACnet.
Le cœur de la pré-visite se joue l’armoire électrique ouverte, lampe torche en main, pour s’assurer que chaque pièce matérielle prévue rentrera sans bousculer l’existant. On traque les ports RJ45 libres sur les automates, la place sur rail DIN, l’alimentation disponible, ou la nécessité de poser un bridge Wi-Fi local quand tirer un câble réseau jusqu’au toit est impossible. Et quand les étiquettes sont illisibles, on rouvre les épais classeurs de DOE (Dossier des Ouvrages Exécutés) pour vérifier chaque départ.
Le travail d’inventaire zone par zone est la condition sine qua non d’un projet réussi : il est nécessaire pour établir un chiffrage matériel correct tout en sachant exactement quelle pièce du bâtiment va gagner en intelligence.
L’enjeu : traduire la donnée technique en aide à la décision
Une fois l’infrastructure matérielle posée grâce à la BOM, notre objectif est de connecter ces appareils en ajoutant une surcouche ouverte via une passerelle réseau et le superviseur. L’essence de cette démarche ne consiste pas à superposer de belles courbes de températures sur un écran que personne ne regardera. L’enjeu est beaucoup plus ambitieux : il s’agit d’industrialiser la donnée de la chaufferie pour la traduire en informations utiles, compréhensibles et adaptées aux différents acteurs pour optimiser confort, consommation, et travaux d’amélioration du bâtiment.
Pour le propriétaire, l’interface devient un outil financier d’une redoutable précision. La plateforme s’articule autour d’un diptyque clair qui découple ce que nous optimisons de ce que le client choisit :
Les économies réalisées : le chiffre opposable (en kWh et euros), avec la baisse mesurée de la facture, calculée de manière automatisée par rapport à l’historique du bâtiment.
Le gaspillage évité : la valeur économique de l’énergie non consommée grâce à notre optimisation technique, indépendamment des choix de confort de l’établissement (excellent indicateur même si le client choisit de chauffer fort).
Pour le personnel soignant et l’exploitant, le superviseur devient le poste de pilotage du confort et de la robustesse : ils peuvent enfin surveiller les alertes canicule de manière automatisée, traiter les dérives en temps réel (comme une vanne défaillante), et ajuster les températures, zone par zone, en fonction de l’exposition des pièces ou des plannings d’occupation.
En sortant la donnée des sous-sols pour la rendre accessible à tous via des tableaux de bord, nous transformons une vieille armoire électrique en un outil collaboratif d’aide à la décision. Ce système couvre non seulement le risque réglementaire (décret BACS, décret Tertiaire), mais il apporte sa propre rentabilité, sans nécessiter d’heures d’ingénierie et des centaines de milliers d’euros d’investissements matériels.
Reprendre les clés de son bâtiment
Face aux canicules à répétition, ajuster la température zone par zone en fonction de l’exposition et suivre ses consommations est le strict minimum. C’est une question de sobriété, mais aussi de santé publique lorsqu’il s’agit de protéger des personnes vulnérables en EHPAD. Face à cette exigence, le décret BACS est l’occasion pour les propriétaires de reprendre possession des données de leur propre bâtiment.
Le travail est sérieux. L’annexe sur le protocole BACnet est propre, les tableaux de codes de fonction à filtrer sont directement utilisables, et les auteurs connaissent manifestement leur sujet. J’ai quand même refermé le document agacé.
Parce qu’en quarante pages, une question n’est jamais posée. Pas « comment se protéger », qui est traitée en détail. Mais : pourquoi faut-il en arriver là ?
Le guide vous explique comment construire un mur d’enceinte. Il ne demande jamais au menuisier pourquoi il vous a vendu une porte sans serrure.
Le mot de passe du bâtiment de Google était « anyonesguess »
Mai 2013, Sydney. Deux chercheurs en sécurité tapent une requête dans Shodan, le moteur de recherche des objets connectés, et tombent sur le système de gestion technique du Wharf 7, le siège australien de Google. Le logiciel est une version non corrigée de Tridium Niagara.
Ils récupèrent le fichier de configuration. Dedans, le mot de passe administrateur : anyonesguess (2). Au sens propre : à la portée du premier venu. Derrière, les conduites d’eau, la ventilation, les plans du bâtiment. Google a confirmé, débranché, et l’affaire s’est refermée.
Automates exposés sur internet, anonymisé
C’est une bonne anecdote de conférence. On la raconte volontiers, avec la distance confortable qu’autorisent treize ans d’écart.
Sauf que le sujet n’a rien d’historique.
Le 10 mars 2026, il y a quatre mois, l’agence américaine de cybersécurité publiait un avis noté 10 sur 10, la note maximale, sur une gamme de contrôleurs de GTB largement déployée en Europe (3). Le défaut : en configuration d’usine, l’interface web du contrôleur s’ouvre sans aucune authentification, avec les pleins droits. N’importe quel visiteur peut se créer un compte administrateur et, accessoirement, verrouiller l’exploitant hors de son propre bâtiment. Le code de démonstration est public.
Le fabricant vous répond que ce n’est pas fait pour être branché sur Internet
La réponse officielle du fabricant à cette note de 10 sur 10 tient en une phrase. Le produit, dit-il, « is an on-premise product not intended for direct internet exposure », un produit sur site, non destiné à une exposition directe à Internet.
Traduisons. Le produit n’a pas de serrure, et c’est à vous de construire les murs.
Ce n’est pas un dérapage isolé, c’est un modèle économique. En 2022, les chercheurs de Forescout ont publié un travail resté célèbre sous le nom d’OT:ICEFALL : 56 vulnérabilités chez 10 constructeurs de systèmes industriels, dont plusieurs fabricants de GTB (4). Leur conclusion est la partie intéressante. Ce ne sont pas des bugs, ce sont des choix de conception. Un bug, on le corrige. Un choix de conception, on le compense, et c’est à l’exploitant de le faire.
Le paysage actuel confirme l’analyse, et il est franchement inconfortable à lire :
Chez Siemens, cinq vulnérabilités affectent des automates de GTB toujours commercialisés, dont une clé de chiffrement écrite en dur dans le firmware. Toutes portent la même mention dans l’avis constructeur : « Currently no fix is available », aucun correctif disponible. Et les produits sont déclarés affectés en « toutes versions » (5).
Chez Schneider Electric, une faille critique a été publiée en juillet 2024 sur un contrôleur domotique arrêté fin 2015. Huit ans et demi d’écart. L’unique remédiation officielle est de retirer le produit du service (6).
Chez Sauter, une gamme entière de superviseurs est affectée en toutes versions, sans correctif. La remédiation proposée consiste à migrer vers la génération suivante. Autrement dit : le correctif s’achète.
Au SSTIC 2025, la conférence française de référence en sécurité, une chercheuse d’Orange Cyberdefense racontait une faille qu’elle avait publiée sur une passerelle industrielle. Le correctif proposé par le fabricant était de remplacer l’équipement (7).
Je n’invente rien et je ne force pas le trait : ce sont des citations d’avis publics, tous consultables.
Certains correctifs ne manquent pas, ils se vendent
Il existe un second mécanisme, plus discret, et à mon avis plus problématique encore, parce qu’il ne relève pas de la technique mais du contrat.
Niagara, de Tridium, filiale de Honeywell, est l’un des socles logiciels les plus déployés au monde en GTB. Son contrat de maintenance, le Software Maintenance Agreement, est décrit dans une fiche commerciale publique. Le document énonce que le titulaire d’un contrat actif « is entitled to download the latest Niagara Framework releases ». Et la liste des contreparties du contrat comporte cette ligne, telle quelle : « Access to cybersecurity updates » (8).
Soyons précis, parce que la nuance compte et qu’il ne faut pas faire dire aux textes plus qu’ils ne disent. Aucun document Tridium n’écrit « pas de contrat, pas de correctif ». Ce qui est écrit, c’est que le contrat donne droit aux nouvelles versions, et que les correctifs de sécurité sont livrés sous forme de nouvelles versions. Le couplage n’est pas proclamé. Il est mécanique.
La documentation de fin de vie de la génération précédente est plus directe encore : « Tridium will not address defects or cyber security issues after July 1, 2021 », et les versions existantes ne seront plus disponibles au téléchargement (9). Non seulement plus de correctifs, mais plus d’accès aux binaires que vous exploitez déjà.
Ailleurs, c’est la fonction de sécurité elle-même qui se facture. Pour activer BACnet/SC, la version chiffrée et authentifiée du protocole BACnet, sur la plateforme Metasys de Johnson Controls, la documentation constructeur indique qu’il faut acheter une licence dédiée, les certificats étant vendus séparément (10).
Vous avez bien lu. On peut payer un supplément pour obtenir le chiffrement qu’on croyait avoir acheté avec le système.
Rendons justice à ceux qui font autrement, sinon le procès devient malhonnête : Delta Controls, WAGO et Beckhoff distribuent leurs correctifs publiquement, sans condition contractuelle. WAGO va jusqu’à publier ses firmwares sur un dépôt GitHub officiel. Carrier a même corrigé une version de son superviseur alors qu’elle était officiellement en fin de support. Le problème n’est donc pas une fatalité du secteur. C’est une politique d’entreprise.
L’ANSSI constate le défaut et vous présente la facture
Arrive donc le guide, fin avril 2026. Il constate la situation sans détour, page 9 :
« de par leur conception, les équipements constituant le système de GTB intègrent des protocoles peu ou pas sécurisés par défaut »
C’est exact. C’est même remarquablement lucide.
Suivent vingt-six recommandations. Toutes s’adressent à celui qui a acheté le matériel. Aucune à celui qui l’a fabriqué. Cloisonner, filtrer, durcir, journaliser, isoler : le lecteur doit construire, à ses frais, l’enveloppe de sécurité que le produit n’apporte pas. Et il doit acheter pour cela un pare-feu supplémentaire, dont le guide détaille la configuration sur quatre annexes avec captures d’écran.
Vous payez donc deux fois. Une fois le produit, une fois ce qui compense ses défauts.
Il y a plus gênant. Le guide ne pose jamais la première question de toute démarche de sécurité : contre qui ? Pas de modèle de menace, pas de scénario, pas de hiérarchisation par impact. Un EHPAD de quarante lits et un bloc opératoire reçoivent les mêmes vingt-six mesures, dans le même ordre.
Ce n’est pas faute d’outil. L’ANSSI a publié en mars 2025, un an plus tôt, une méthode de classification des systèmes industriels par criticité (11). Elle n’est pas citée dans la bibliographie du guide GTB. EBIOS Risk Manager, sa propre méthode d’analyse de risque, non plus.
Et page 6, cette phrase qu’il faut relire deux fois : « Ce guide ne traite pas des architectures d’authentification des utilisateurs sur l’environnement GTB/GTC. » Un guide de sécurité qui place l’identité hors de son périmètre, alors que c’est précisément là que se joue la sécurité moderne.
Détail que je trouve révélateur, pour finir sur ce point : la référence la plus récente de la bibliographie date de janvier 2022. Le guide Wi-Fi auquel renvoie le document a été publié en septembre 2013, l’iPhone 5s venait de sortir. Et deux références de la liste, les numéros 15 et 16, sont le même document.
Trois recommandations se mordent la queue
Au-delà de la question de fond, plusieurs mesures produisent l’inverse de leur intention. J’en retiens trois.
L’isolement fabrique le vecteur qu’il prétend supprimer. La première recommandation impose un poste d’ingénierie sans accès à Internet. Conséquence mécanique : ce poste ne recevra plus jamais de mise à jour autrement que par clé USB. Le guide dépense alors trois recommandations à colmater ce vecteur : bloquer les ports USB, verrouiller le BIOS, installer une station blanche. Rappel utile : l’usine d’enrichissement iranienne de Natanz était coupée d’Internet. C’est précisément pour cela que Stuxnet est passé par une clé USB.
Le cloisonnement se déboulonne lui-même. Le guide impose de séparer les équipements en réseaux virtuels distincts. Puis il admet, page 22, que « l’architecture BACnet/IP de base n’est donc pas adaptée à un cloisonnement logique ou physique », le protocole reposant sur la diffusion générale. Il faut alors déployer des équipements relais dont la fonction est de retransmettre exactement les messages que le cloisonnement devait bloquer. On double le nombre de points de panne pour revenir au point de départ.
Le filtrage s’éteint au pire moment. Le guide précise que pendant les phases de maintenance, les flux non prévus doivent lever une alerte mais ne pas être bloqués. Le filtrage cesse donc précisément quand un prestataire extérieur, sur un poste que vous ne maîtrisez pas, est aux commandes de votre installation.
J’ajoute un détail pour les lecteurs techniques. La seule solution de détection libre proposée par le guide ne sait pas interpréter BACnet, le document le reconnaît. Il propose donc d’écrire les règles de détection en octets hexadécimaux, à la main. En 2026. Heureusement que les LLM sont là.
Cloisonner l’air et l’eau détruit ce que vous êtes venu chercher
C’est le point qui me paraît le plus grave, et curieusement le moins discuté.
La recommandation R4 demande de cloisonner les constituants de la GTB par fonction technique. L’exemple donné par le guide est explicite : « la gestion du traitement de l’air doit être cloisonnée de la gestion de l’eau chaude et eau froide ». Si deux lots doivent échanger, les flux doivent traverser un pare-feu configuré pour ne laisser passer « que les seuls flux strictement nécessaires aux besoins fonctionnels ».
Ce n’est pas une interdiction. C’est pire, selon moi : c’est l’obligation de déclarer à l’avance tous les croisements de données que vous voudrez faire un jour.
Or une GTB moderne ne tire aucune valeur de la surveillance d’un lot isolé. Elle en tire du croisement, et surtout de croisements qu’on n’avait pas anticipés au moment du déploiement :
La présence commande l’éclairage, le chauffage et le renouvellement d’air. Trois lots, trois « fonctions de GTC », trois réseaux séparés.
La production solaire doit arbitrer en temps réel entre recharger les véhicules, climatiser et produire l’eau chaude sanitaire. Production électrique, mobilité, froid, plomberie : quatre domaines qui, selon R4, ne devraient pas se parler.
Le free cooling croise température extérieure, centrales de traitement d’air et groupes froids.
Détecter une fuite d’eau suppose de comparer un débit nocturne à l’occupation réelle.
Une fenêtre ouverte doit couper le radiateur placé dessous. Menuiserie et chauffage.
Détecter une dérive : le cœur du métier, c’est croiser consommation, météo, occupation et horaires d’usage. Aucune de ces données n’appartient au même lot.
Le modèle proposé suppose qu’on connaisse les besoins fonctionnels à l’avance. Mais l’intelligence du bâtiment consiste exactement à découvrir des besoins fonctionnels qu’on n’avait pas prévus. Dans ce cadre, chaque idée d’optimisation devient une demande de modification de règle de pare-feu, arbitrée par quelqu’un qui n’a ni le contexte métier ni le temps. En pratique, elle ne sera pas faite. Vous aurez payé un système d’optimisation pour obtenir un système de supervision.
Il y a une seconde moitié à ce raisonnement, et elle pèse peut-être plus lourd que la première : les économies d’énergie ne viennent pas de la conception, elles viennent de l’usage quotidien.
Un exploitant qui ouvre sa GTB dans son navigateur, entre deux rondes, ajustera un horaire de chaufferie le lundi, une consigne de centrale de traitement d’air le mercredi, une courbe de chauffe le vendredi parce qu’il a reçu trois plaintes. Ces micro-corrections, accumulées sur une année, pèsent bien plus lourd que le paramétrage initial. C’est l’exploitant qui fait les économies, pas l’intégrateur.
Le même exploitant, s’il doit traverser le bâtiment, ouvrir un local technique, s’authentifier sur un poste d’ingénierie dédié et privé d’accès à Internet, puis monter un tunnel chiffré pour atteindre l’automate, ne le fera pas. Il le fera une fois, en avril. Puis plus jamais.
C’est exactement ce que produisent les recommandations R1, R2 et R6 mises bout à bout : chaque modification devient une expédition. Et une GTB qu’on ne touche plus dérive. Les horaires cessent de suivre l’occupation réelle, les consignes restent calées sur l’hiver précédent, et les économies promises s’évaporent en dix-huit mois.
Pire : la friction ne supprime pas le besoin, elle le déplace. L’exploitant qui doit sortir un historique de températures que personne n’avait prévu d’exporter trouvera un moyen. Ports USB bloqués ou non, il trouvera. Et le moyen qu’il trouvera sera toujours moins sûr que celui qu’on lui a refusé.
C’est la loi d’airain de la sécurité opérationnelle, et elle vaut pour la GTB comme ailleurs. Une mesure qui empêche de travailler n’est pas appliquée. Elle est contournée.
Et le guide se contredit à quatre pages d’écart. Page 5, dans la liste de ce que la GTB doit surveiller en milieu hospitalier, il cite la température de l’eau chaude, celle qui conditionne le risque de légionelle. Prévenir ce risque suppose de corréler la production de chaleur, la distribution, les températures aux points terminaux et le débit lié à l’occupation. Trois à quatre « fonctions de GTC ».
Le guide décrit le cas d’usage page 5, et recommande page 9 l’architecture qui l’empêche.
Cette tension n’est pas seulement technique, elle est réglementaire. Le décret BACS impose aux bâtiments tertiaires de 70 à 290 kW de s’équiper d’ici le 1er janvier 2030 (12), avec obligation de détecter les pertes d’efficacité et d’alerter l’exploitant. Détecter une perte d’efficacité, c’est comparer des lots entre eux. Un texte impose donc la corrélation, l’autre recommande la séparation, et aucun des deux ne cite l’autre.
Ajoutons le règlement européen sur la cyber-résilience, qui imposera aux fabricants, à partir de décembre 2027, cinq ans de support minimum et des correctifs de sécurité gratuits (13). C’est un vrai progrès. Mais cinq ans, pour un automate qui restera en place quinze à vingt ans, ressemble surtout à une date de péremption officialisée. Le guide de l’ANSSI ne le mentionne pas davantage.
Ce que nous faisons chez Foorier, et pourquoi
Je ne vais pas prétendre que nous avons résolu un problème que l’industrie entière porte depuis trente ans. Mais nous concevons à partir d’un principe différent, et je pense qu’il change tout : la bonne question n’est pas comment empêcher la panne, c’est ce qui continue de fonctionner quand elle arrive.
Une seule couche de données, tous les lots dedans. Le solaire arbitre entre la recharge, le froid et l’eau chaude ; la présence pilote lumière, chauffage et ventilation. Croiser une donnée nouvelle prend une heure, pas un ticket. La confiance repose sur l’identité et le chiffrement de bout en bout, pas sur des murs entre l’air et l’eau.
Le chauffage ne dépend pas ni du réseau ni de la supervision. Thermostat et relais disposent d’une intelligence locale et mettent à jour leurs consignes sur ordre de la supervision. Si celle-ci venait à disparaître, la dernière consigne tient et le bâtiment continue de chauffer. C’est le point dont le guide de l’ANSSI ne dit rien : il traite l’attaque, jamais la dégradation maîtrisée.
Des standards ouverts, et des composants du W3C. Quand nous cessons d’être payés, le système continue d’être corrigé par la communauté qui le maintient. C’est exactement l’inverse d’un correctif adossé à un contrat.
Des mises à jour automatiques de sécurité, appliquées en continu, avec redémarrage nocturne programmé. Un canal maîtrisé vaut mieux qu’un canal interdit puis contourné par clé USB.
Un accès distant par réseau maillé chiffré, sans ouvrir le moindre port sur Internet. Les 20 646 systèmes Niagara et 11 449 équipements BACnet visibles depuis Internet (décompte d’avril 2024, leurres exclus (14))sont autant de démonstrations de ce qu’il ne faut pas faire.
Je précise que la France est le seul grand pays occidental où le nombre de systèmes industriels exposés augmente. Plus 26 % entre 2017 et 2024, quand les États-Unis en retirent 47 % (15). Nous ne sommes pas en train de rattraper un retard. Nous sommes en train de le creuser.
Conclusion : la sécurité informatique ne vaut rien sans la sécurité physique
Il y a une limite à tout ce qui précède, et je préfère le dire moi-même.
Quand nous avons livré une installation propre (données croisées, mises à jour automatiques, mode dégradé filaire, accès chiffré, aucun port ouvert) il reste un risque que nous ne maîtrisons pas. Les locaux techniques.
Un local qui ne ferme pas à clé, une armoire réseau ouverte dans un couloir de passage, et tout l’édifice devient décoratif. Le jour où quelqu’un sort la box de l’armoire pour brancher un chargeur de téléphone et la laisse débranchée sur une chaise, aucune des vingt-six recommandations de l’ANSSI ne le retiendra. Aucune des nôtres non plus.
Comme le dit Jean-Paul Figer, il n’y a pas de cybersécurité sans sécurité physique. Nous avons commencé cet article avec une porte sans serrure, au sens figuré. Il se termine sur une serrure au sens propre, celle du local technique, qui coûte quarante euros et que personne ne vérifie en réception de travaux.
Quatre choses à faire cette semaine, si le sujet vous concerne :
Demandez par écrit à votre fournisseur la date de fin de support de votre système. Le règlement européen l’imposera en 2027. Rien ne vous empêche de l’exiger maintenant.
Vérifiez si vos correctifs de sécurité dépendent d’un contrat de maintenance actif. C’est une clause de marché, pas un sujet technique, et cela se négocie avant la signature, jamais après.
Avant de cloisonner par lot, listez les croisements de données que vous voudrez faire dans trois ans. Ce sont eux qui portent le retour sur investissement, pas la supervision.
Allez ouvrir la porte de votre local technique. Si elle s’ouvre, vous connaissez votre priorité.
À mon avis, tant que la réponse à « qui aurait dû empêcher cela » restera « l’exploitant », nous continuerons d’écrire des guides de plus en plus épais pour des systèmes de moins en moins sûrs.
Et vous, si je débranche votre GTB ce soir, votre bâtiment chauffe-t-il encore demain matin ?
Sources
Recommandations de sécurité relatives à la gestion technique et centralisée du bâtiment (GTB/GTC), ANSSI-PA-110 v1.0, 27 avril 2026. https://cyber.gouv.fr
Billy Rios et Terry McCorkle, Cylance, mai 2013 – système Tridium Niagara AX du bâtiment Wharf 7 de Google à Sydney, identifié via Shodan.
Claire Vacherot, Orange Cyberdefense, « Ça fait quoi si j’appuie là ? » Retour d’expérience de tests d’intrusion sur systèmes industriels, SSTIC 2025. https://www.sstic.org
Décret n° 2020-887 modifié par le décret n° 2025-1343 du 26 décembre 2025, articles R. 175-1 et suivants du code de la construction et de l’habitation.
Vous devez être connecté pour poster un commentaire.