Réponse rapide
Un logiciel robotique isole fonctions critiques par interfaces, processus, permissions, watchdogs et voies de repli afin qu’une erreur non critique ne contourne pas les limites de sécurité.
Séparer
Découplez perception, planification, commande, diagnostic et arrêt avec contrats de données et états explicites. Les composants critiques ont dépendances minimales et comportement défini en erreur.
Surveiller
Ajoutez délais, watchdog, contrôle de cohérence, limites indépendantes et journal d’événements. Un module ne doit pas désactiver son propre garde-fou.
Vérifier
Testez interfaces, pannes, redémarrage, perte réseau et charge et contrôlez privilèges. Un changement d’un composant critique déclenche revalidation de la chaîne.
Sources et références
- [1] Robotics and Autonomous Systems — NIST