Mettre à jour des bornes connectées sans désorganiser le parking

Une mise à jour des bornes de recharge d’un parc se prépare comme une intervention d’exploitation : inventaire des modèles et des versions, lecture des notes du fabricant, créneau choisi, essai sur une borne pilote, puis déploiement par lots avec des contrôles à chaque étape. Les usagers doivent toujours garder un moyen de recharger.

Vous saurez ensuite inventorier le parc, vérifier la certification d’une nouvelle version, conduire un pilote, contrôler le service réel et convenir avec votre fournisseur de la conduite à tenir en cas d’échec.

Ce que change une mise à jour de firmware sur une borne

Le firmware est le logiciel embarqué qui fait fonctionner la borne : dialogue avec la voiture, lecture des badges, comptage de l’énergie, communication avec la supervision. Le mettre à jour peut corriger un défaut ou une faille, mais aussi modifier des réglages ou des fonctions.

La supervision est le logiciel qui suit et commande les bornes à distance. Quand borne et supervision dialoguent en OCPP (Open Charge Point Protocol), le protocole ouvert publié par l’Open Charge Alliance (OCA), le livre blanc de l’OCA sur le suivi de la disponibilité indique que, tant que la borne est connectée, l’exploitant peut lui envoyer, selon ses droits et le modèle : redémarrage, changement de disponibilité, lecture et modification de la configuration, récupération des journaux de diagnostic et mise à jour du firmware.

Une mise à jour touche donc le cœur de l’équipement, et ses effets se voient vite sur un parking partagé : badge refusé, session qui ne démarre pas, limitation de puissance inopérante. Le guide logiciel de supervision de bornes détaille ce que cet outil permet de suivre.

Avant la mise à jour des bornes de recharge d’un parc : l’inventaire

La première étape est un relevé borne par borne : marque, modèle exact, version de firmware, version d’OCPP utilisée et mode de liaison (Ethernet, Wi-Fi, réseau mobile).

La borne déclare elle-même sa version de firmware à la supervision dans son message BootNotification ; c’est cette version déclarée que retient la procédure de certification de l’OCA.

Notez aussi les fonctions utilisées sur chaque site : badges, liste d’autorisation locale, limitation de puissance, paiement par carte, itinérance. Une fonction oubliée dans l’inventaire ne sera pas testée. Regroupez enfin les bornes par famille, même modèle et même version de départ : chaque famille aura son pilote.

Le mode de liaison compte aussi : une mise à jour de firmware ne remplace pas un modem. Selon l’Arcep, l’arrêt de la 2G se généralise en métropole entre fin septembre et fin décembre 2026, selon l’opérateur, et les équipements non compatibles 4G, 5G ou technologies alternatives devront avoir été remplacés. Méthode complète dans le guide préparer un inventaire technique de son parc de bornes.

Lire les notes de version et vérifier la certification OCPP

Une mise à jour vaut pour un modèle et une version de départ précis, jamais par analogie. Lisez les notes du fabricant, puis vérifiez la certification OCPP de la version cible.

Dans les notes, cherchez quatre choses : les prérequis (une version intermédiaire, par exemple), la compatibilité annoncée avec votre supervision, les réglages remis à zéro, les fonctions ajoutées ou retirées.

La procédure de certification OCPP de l’OCA (version 3.6.2 du 3 juillet 2026) précise qu’un certificat mentionne la version d’OCPP, les profils certifiés, les fonctions matérielles testées et la version de firmware, et que tous les certificats sont publiés dans l’annuaire « OCPP Certification Directory ». Une nouvelle version de firmware n’est plus certifiée tant qu’elle n’a pas été recertifiée. Cela ne dit rien du fonctionnement de la borne, mais la preuve de conformité ne couvre plus sa version : cherchez la version cible dans l’annuaire, ou demandez si une recertification est prévue.

Depuis le 1ᵉʳ octobre 2025, selon l’OCA, le nouveau programme de certification OCPP 1.6 rend obligatoires dans le profil « Core » la gestion du firmware et le profil de sécurité 2 (TLS 1.2 ou supérieur avec authentification de base). Le guide borne annoncée OCPP : les preuves à demander explique comment lire un certificat, et le guide OCPP 1.6, 2.0.1 et 2.1 traite la compatibilité entre versions.

Choisir le créneau et prévenir les usagers

Placez la fenêtre aux heures les moins chargées et donnez aux usagers une solution de repli : autre borne du parking, autre créneau ou recharge à l’extérieur. L’historique des sessions montre les heures calmes du site.

L’OCA définit l’indisponibilité comme la part du temps pendant laquelle un client légitime ne peut pas recharger, rapportée au temps normal d’ouverture, et recommande de la calculer par point de charge. Prenons un parking ouvert jour et nuit : un mois de 30 jours compte 30 × 24 = 720 heures. Un point arrêté 2 heures est indisponible 2 ÷ 720 ≈ 0,28 % du mois, soit environ 99,72 % de disponibilité. Savoir si une maintenance programmée est exclue de l’engagement de l’opérateur relève du contrat : voyez le guide engagement de disponibilité d’un opérateur.

Pour des points ouverts au public, le règlement d’exécution (UE) 2025/655 impose de mettre à jour les données dynamiques, dont le statut opérationnel et la disponibilité, au plus tard une minute après un changement. Passez donc les points concernés en indisponible depuis la supervision avant l’intervention.

Pour prévenir les usagers, inspirez-vous des voitures : le règlement ONU n° 156 prévoit que le conducteur puisse être averti, avant une mise à jour à distance, de son but, de sa durée et des fonctions indisponibles, puis informé de son succès ou de son échec. Sur un parking, cela donne une note datée : bornes, horaire, solution de repli, contact.

Commencer par une borne pilote, puis étendre par lots

Installez d’abord la nouvelle version sur une seule borne représentative, observez-la en service réel, puis étendez par lots. L’OCA décrit la même logique pour un changement de supervision : tester chaque modèle et chaque version logicielle avant tout déploiement à grande échelle, puis avancer par lots contrôlés.

Choisissez comme pilote une borne de la famille la plus courante, avec une autre borne libre juste à côté. Évitez le seul point accessible aux personnes à mobilité réduite ou la seule borne rapide du site. Avant l’installation, faites relever la configuration complète par l’intervenant compétent : ce sera votre référence.

Que contrôler après l’installation ?

Une borne revenue en ligne ne prouve pas que le service fonctionne. Vérifiez la version déclarée, puis faites une vraie session avec les moyens d’identification et les fonctions utilisés sur le site.

Selon l’OCA, les statuts Unavailable et Faulted d’un connecteur peuvent signaler une indisponibilité, mais toutes les pannes n’y apparaissent pas : une erreur d’autorisation, par exemple, n’est pas signalée par la borne. Seul un essai avec un badge le montre. Avant de rouvrir le point, contrôlez les éléments suivants :

• la version de firmware déclarée à la reconnexion correspond à la version cible ;
• la liaison avec la supervision est stable et le Heartbeat, message périodique par lequel la borne signale qu’elle est joignable, arrive à l’intervalle prévu ;
• chaque connecteur affiche le statut attendu ;
• un badge autorisé démarre et arrête une session, un badge révoqué est refusé ;
• l’énergie de la session remonte dans la supervision ;
• la limitation de puissance s’applique encore ;
• les réglages relus correspondent au relevé d’avant, notamment la liste d’autorisation locale (liste de badges gardée dans la borne) et les réglages hors ligne ;
• le paiement ou l’itinérance fonctionnent, s’ils existent sur le site.

Surveillez ensuite les alertes quelques jours et consignez tout dans le journal d’intervention. Pour la limitation de puissance, voyez le guide supervision et délestage.

Préparer l’échec : retour arrière, diagnostic, déplacement

Demandez avant l’opération ce que prévoit le fabricant si l’installation échoue ou s’interrompt. Revenir à l’ancienne version n’est pas toujours possible ; cela se vérifie dans sa documentation et ne s’improvise pas. Faites-lui préciser par écrit si la borne reprend seule sa version précédente, reste hors service ou attend un technicien.

Si la borne reste connectée, l’exploitant peut récupérer les journaux de diagnostic, la redémarrer ou lui demander d’envoyer un message précis. Si elle fonctionne mais ne retrouve pas la supervision, elle se comporte comme une borne hors ligne : selon l’OCA, une recharge en cours se poursuit normalement, mais autoriser de nouvelles sessions peut devenir impossible, sauf pour les badges gardés en cache ou inscrits dans la liste locale, quand la borne les gère.

Si rien n’est possible à distance, un technicien se déplace. Convenez à l’avance de qui intervient, dans quel délai contractuel, et avec quelle qualification si le coffret ou l’alimentation doivent être ouverts. Personne d’autre qu’un professionnel qualifié ne touche au tableau ou à la ligne électrique.

Qui peut lancer une mise à jour, et comment la tracer

Réservez le droit de lancer une mise à jour à quelques comptes nominatifs, et gardez une trace de chaque intervention. Dès que badges et sessions se rattachent à des personnes, la supervision traite des données personnelles : les recommandations de la CNIL valent ici.

Le guide de la sécurité des données personnelles de la CNIL recommande le moindre privilège, un identifiant unique par utilisateur sans compte partagé, le retrait des droits dès qu’une personne change de mission ou de poste, et une revue des habilitations au moins une fois par an. Il recommande aussi de journaliser les interventions techniques, y compris celles des administrateurs, et de garder ces traces sur une période glissante de six mois à un an, sauf obligation légale ou besoin particulier. Le guide droits administrateur et utilisateur dans une supervision aide à répartir les rôles.

Côté protocole, OCPP 2.0.1 a introduit la mise à jour par firmware signé et un journal des événements de sécurité, reportés sur OCPP 1.6 par une extension de l’OCA ; leur présence se vérifie sur le certificat et dans la documentation de la borne.

Le règlement (UE) 2024/2847 sur la cyberrésilience vise les fabricants de produits comportant des éléments numériques. Depuis le 11 septembre 2026, ils doivent notifier les vulnérabilités activement exploitées ; à partir du 11 décembre 2027, date d’application du reste du règlement, ils devront aussi assurer une période d’assistance d’au moins cinq ans, sauf durée d’utilisation prévue plus courte. Demandez comment le fabricant vous préviendra d’une mise à jour de sécurité.

Les questions à poser au fournisseur, idéalement dès le contrat

Faites écrire la procédure par ceux qui la maîtrisent : fabricant, exploitant de la supervision, installateur. Ces questions ont leur place dans le contrat, pas la veille de l’intervention :

1. Qui déclenche les mises à jour, et avec quel préavis ?
2. Les notes de version et les prérequis sont-ils transmis avant chaque déploiement ?
3. La version cible figure-t-elle dans l’annuaire de certification OCPP, ou une recertification est-elle prévue ?
4. L’installation redémarre-t-elle la borne, combien de temps dure-t-elle, et qu’advient-il d’une session en cours ?
5. Un retour à la version précédente est-il possible, et qui le réalise ?
6. Qui se déplace si la borne ne revient pas en ligne, et dans quel délai ?
7. Quelle durée de support logiciel le fabricant annonce-t-il ?

Dans son livre blanc sur les migrations, l’OCA recommande de prévoir avec les fabricants des contrats de support de longue durée et un séquestre de leur firmware, c’est-à-dire son dépôt chez un tiers. Pour un parc d’entreprise, Volticom, entreprise qualifiée QUALIFELEC IRVE, étudie l’installation et la supervision OCPP après une visite technique et remet un devis détaillé : la demande passe par le devis professionnel. Objectif : devis sous 48 h après dossier complet.

L’essentiel à retenir

• Une mise à jour de firmware est une intervention d’exploitation : un responsable, un créneau, une procédure écrite, un journal.
• L’inventaire (modèle, firmware, version d’OCPP, liaison, fonctions utilisées) définit les familles de bornes.
• Selon l’OCA, une nouvelle version de firmware n’est plus certifiée OCPP avant recertification.
• Une borne pilote par famille, puis des lots qui laissent toujours des points en service.
• Après l’installation, seule une vraie session avec badge valide le service.
• Retour arrière, déplacement d’un technicien et durée du support se négocient avant, par écrit.