Réponse rapide
Distinguer fonctions nominales et fonctions de repli permet de savoir ce que le robot fait lorsque capteur, réseau, énergie, actionneur ou supervision ne respecte plus ses hypothèses. Le nominal vise la mission ; le repli vise contrôle, limitation et arrêt avec une autorité claire. Chaque repli possède déclencheur, état obtenu et condition de reprise.
Associer défaut et capacité restante
Matrice de modes relie panne, détection, fonctions conservées, sorties limitées, signalisation et responsabilité. Les repli ne dépendent pas tous du même composant que le nominal. Priorités et transitions sont versionnées.
Tester passage et retour
Défauts sont injectés pendant déplacement, contact, calcul, communication et redémarrage. On mesure délai, mouvement résiduel, état affiché et possibilité d’intervention. Le retour au nominal exige une vérification, pas seulement le retour du signal.
Ne pas appeler repli une poursuite silencieuse
Continuer avec une donnée ancienne ou une limite élargie peut augmenter le risque. Le robot réduit action, demande aide ou s’arrête selon conséquence. Toute perte d’information critique est visible.
Sources et références
- [1] Robotics and Autonomous Systems — NIST