Réponse rapide
La redondance compare plusieurs voies pour détecter une panne ou maintenir une fonction, mais elle ne protège pas contre une erreur commune, une mauvaise indépendance ou une architecture mal surveillée.
Point de vigilance
Deux voies identiques peuvent partager le même défaut. Analysez indépendance, alimentation, logiciel et capteur avant de compter sur la redondance.
Choisir une diversité réelle
Utilisez voies, alimentations, logiciels ou principes de mesure suffisamment indépendants et analysez les défauts qui pourraient les affecter ensemble.
Arbitrer les désaccords
Un vote, une valeur sûre ou un arrêt doit être défini lorsque les voies divergent. Les diagnostics indiquent quelle information reste utilisable.
Tester les limites
Injectez panne, dérive, perte d’alimentation et défaut de communication et mesurez si la redondance réduit réellement le risque sans créer une fausse confiance.
Sources et références
- [1] Robotics and Autonomous Systems — NIST