Réponse rapide
Un robot doit être retiré du service lorsque son état, ses protections, ses logiciels ou son environnement ne permettent plus de respecter les exigences prévues. La décision s’appuie sur des preuves et inclut la maîtrise des données, des accès et de la remise en service éventuelle.
Reconnaître une situation inadmissible
Défaut récurrent, protection dégradée, pièce indisponible, configuration non supportée ou mission modifiée sans validation sont des signaux de retrait. Une performance moyenne acceptable ne compense pas une fonction de sécurité incertaine.
Fonder le choix sur les faits
Historique d’alarmes, mesures, inspections et analyse de risques sont réunis. Le responsable documente suspension temporaire, réforme ou remise à niveau, avec les conditions nécessaires pour chaque option.
Gérer l’après-retrait
Accès distants, clés, données de mission et pièces détachées sont désactivés ou conservés selon une procédure. Un retour en service exige une requalification complète, pas seulement l’effacement de l’alarme.
Sources et références
- [1] Cybersecurity Framework — NIST
- [2] Systems Engineering Handbook — NASA