Résumé

  • Evelyn Berezin dirigea la conception informatique d’un système national pour United Airlines, avec trois processeurs et des nœuds de communication desservant une soixantaine de villes.
  • La redondance, le basculement et le contournement d’un nœud protégeaient le service contre certaines pannes ; ils ne validaient ni la saisie des agents ni la cohérence métier du stock de sièges.
  • Berezin distinguait elle-même cette première génération, centrée sur les données de sièges et de billets, des systèmes de réservation plus complets apparus ensuite.

Une réponse informatique à la question « reste-t-il une place ? » porte deux garanties. Il faut d’abord que la machine réponde. Il faut ensuite que sa réponse corresponde au vol réel, aux ventes et aux annulations. Chez Teleregister, Evelyn Berezin construisit une réponse remarquable au premier problème. L’histoire devient trompeuse lorsqu’on en déduit que le second était automatiquement résolu.

Berezin situait le début de la conception pour United en 1958 ; le Computer History Museum date la livraison d’environ 1962. Le centre de Denver devait fonctionner jour et nuit pour un réseau national. Une panne centrale ne devait durer que quelques secondes : détecter le processeur fautif, l’isoler et confier le travail aux autres machines.

Trois processeurs et une dégradation maîtrisée

Le brevet américain 3 253 262, attribué à Bunker-Ramo, nomme Evelyn Berezin Wilenitz, Frank C. Marino et Donald W. Russell. Il décrit trois processeurs indépendants capables de prendre la prochaine transaction, avec une mémoire et des périphériques communs protégés par des verrouillages. La redondance n’était donc pas une simple machine de secours froide : elle organisait le partage du travail et des ressources.

Berezin parlait d’un fonctionnement « fail-soft ». Des points de comparaison permettaient d’identifier une machine divergente et de la retirer du service. Au lancement, se souvenait-elle, un seul processeur suffisait au trafic normal. Une panne pouvait réduire la capacité avant d’interrompre le service. En cas de saturation des tampons, le système renvoyait un signal d’occupation et l’agent devait réessayer.

Elle affirma également que le traitement central n’avait jamais été totalement arrêté en onze ans. C’est un témoignage de première main, pas un audit indépendant. De même, la réponse en une seconde était une exigence ou un objectif public ; Berezin précisa plus tard que le système n’avait jamais été tout à fait aussi rapide.

La redondance qui partageait le même pylône

Environ soixante nœuds urbains reliaient plusieurs postes d’agents au centre. Des voies distinctes pour l’aller et le retour, ainsi que des commutateurs capables de contourner un nœud, devaient limiter la propagation des pannes. Teleregister disposait d’une équipe de communications séparée, et des ingénieurs de Philips à Eindhoven conçurent des équipements adaptés.

Un incident raconté par Berezin montre toutefois que deux traits sur un schéma ne créent pas deux destins. Au Nevada, des voies supposées indépendantes avaient été placées sur la même liaison hertzienne. Une explosion coupa les terminaux d’environ la moitié du pays, tandis que les ordinateurs centraux continuaient à fonctionner. Le centre était disponible ; le service national ne l’était plus partout.

Une réservation aux contours historiques

La brochure Teleregister de 1956 décrit UNISEL, qui présentait 33 jours de disponibilités dans quatre centres. Sous un seuil de sécurité, l’agent devait encore téléphoner. Elle envisageait ensuite un Reservisor central sur tambours magnétiques : les équipements locaux deviendraient ses satellites et ventes ou annulations modifieraient le compte exact des sièges.

Ce document atteste une trajectoire commerciale, non l’exécution inchangée de chaque fonction dans le projet United. Berezin elle-même expliquait que son système conservait surtout des données de billet par siège et par vol ; les systèmes suivants contenaient davantage d’informations et accomplissaient plus d’opérations.

SABRE doit donc rester un repère de génération. Le Computer History Museum le présente comme une collaboration entre American Airlines et IBM, opérationnelle en 1964, tout en rappelant qu’il ne fut pas le premier système informatisé de réservation. Ses fonctions ultérieures, notamment autour des transactions et des dossiers passagers, ne doivent pas être rétroprojetées sur Teleregister.

Une machine disponible peut conserver une erreur

Le basculement répond à une question d’infrastructure : comment continuer après la perte d’un composant ? La vérité du stock en pose d’autres : une vente ou une annulation est-elle appliquée une seule fois ? Deux agents peuvent-ils prendre la dernière place ? Une requête répétée devient-elle une seconde vente ? Les changements d’exploitation sont-ils rapprochés du registre ?

Les sources consultées n’établissent pas toutes ces propriétés. Trois processeurs peuvent s’accorder sur une donnée périmée. Un calcul exact peut conserver une saisie fausse. Une liaison survivante peut livrer deux fois la même intention. L’absence d’arrêt central n’est donc pas la preuve d’une absence d’écart d’inventaire.

Cette distinction ne réduit pas l’œuvre de Berezin. Elle dirigea une équipe issue de la conception à relais vers l’électronique, aux côtés d’une section de communications distincte. Marino et Russell partagent le brevet central ; ingénieurs de Teleregister, concepteurs de Philips, personnels opérationnels de United et fournisseurs de réseau participèrent au système. La réussite fut d’isoler des domaines de panne afin qu’un défaut unique ne devienne pas un arrêt national. Sa leçon moderne exige une phrase supplémentaire : survivre ne prouve pas que l’état survivant est vrai.

Sources