Réponse rapide
On sépare fonctions critiques et non critiques par leurs objectifs, délais, niveaux d’assurance, interfaces et voies d’arrêt, afin qu’une visualisation ou une optimisation ne puisse neutraliser une limite de sécurité.
Isoler ce qui protège
Arrêt, limitation d’énergie, surveillance de position et interverrouillage ont des chemins contrôlés et testables. Leurs états et défauts sont définis indépendamment de l’interface utilisateur.
Permettre l’évolution
Journalisation, confort, apprentissage ou optimisation peuvent être mis à jour avec moins de contraintes, sans écrire directement dans les actionneurs critiques.
Contrôler les échanges
Permissions, types, délais, valeurs par défaut et comportement en perte de lien sont spécifiés. Les tests injectent messages invalides et retards.
Sources et références
- [1] Robotics and Autonomous Systems — NIST