Réponse rapide
Des protections matérielles indépendantes empêchent qu’un bug logiciel, une perte de réseau ou une sortie erronée maintienne une énergie ou un mouvement dangereux. Fusible, limiteur de courant, arrêt câblé, frein, watchdog matériel ou interverrouillage interviennent en dehors du chemin logiciel principal. Ils sont dimensionnés pour la charge et testés dans le montage réel.
Séparer détection et coupure
Le chemin de sécurité possède alimentation, capteurs, relais, contacteurs ou frein avec défauts surveillés. Ses seuils, délais, énergie résiduelle et réarmement sont définis. Une commande normale ne peut pas bypasser une protection active.
Injecter défauts physiques et logiciels
On provoque court-circuit, surintensité, capteur bloqué, bus coupé, processus figé et arrêt d’urgence. On mesure temps, mouvement résiduel, chaleur, signalisation et possibilité de retour. La protection est vérifiée après maintenance et variation de charge.
Ne pas considérer un relais non testé comme un arrêt sûr
Contact collé, câblage inversé ou énergie stockée peut neutraliser l’effet attendu. La preuve inclut inspection, test périodique et état après panne. Une protection ne doit pas créer un autre danger lors de son déclenchement.
Sources et références
- [1] Robotics and Autonomous Systems — NIST