Réponse rapide
Lorsqu’un agent logiciel devient indisponible, le robot détecte absence, silence, erreurs ou données périmées, puis applique une politique adaptée : utiliser une dernière valeur sûre pendant une durée bornée, basculer vers un agent de secours, réduire la fonction ou s’arrêter. L’état et la cause sont signalés aux autres composants et à l’opérateur.
Définir fraîcheur et timeout
Chaque flux possède âge maximal, fréquence attendue, tolérance de perte et condition d’invalidité. Heartbeat, accusé de réception et mesure locale distinguent lenteur et disparition. Les délais tiennent compte de la dynamique de la fonction commandée.
Tester chaque repli
On coupe processus, réseau, horloge, mémoire et dépendance en fonctionnement nominal et perturbé. Les sorties, commandes, journaux et alarmes sont vérifiés. Le retour de l’agent ne provoque pas une reprise brusque ni un conflit d’autorité.
Ne pas réutiliser indéfiniment la dernière donnée
Une valeur ancienne peut devenir dangereuse après déplacement ou changement de charge. La durée d’usage est bornée et visible. Si aucun repli fiable n’existe, l’action diminue ou s’arrête.
Sources et références
- [1] Robotics communications safety — NIST