Réponse rapide
Lorsqu’un robot ne peut plus vérifier le canal sécurisé, il refuse les commandes non authentifiées, signale l’état et applique une conduite de repli adaptée : ralentissement, arrêt dans une zone sûre ou reprise locale limitée. La reconnexion exige une nouvelle vérification d’identité, de session et de configuration.
Refuser sans perdre les limites
La communication distingue donnée absente, expirée et authentifiée. Le contrôleur conserve limites physiques et échéances ; il n’utilise pas indéfiniment une ancienne consigne.
Gérer un certificat expiré
Le robot termine une action réversible, attend la procédure de renouvellement et informe l’opérateur. La reprise est testée avant retour à la mission nominale.
Arbitrer disponibilité et intégrité
Un arrêt peut réduire le service, mais accepter une commande invérifiable expose la mission. Seuils, alternatives et délais sont choisis selon la criticité du lieu.
Sources et références
- [1] Cybersecurity Framework — NIST
- [2] Definitions — autonomy and teleoperation — NASA