Émetteur-récepteur HF — tolérance aux pannes
Gestion des défauts et modes dégradés
Distinguer avertissement, réduction de puissance, interdiction TX et arrêt complet selon la gravité.
Organisation fonctionnelle
Capteur→Validation→Classification→Action immédiate→Journal→Récupération→Acquittement
Point critique : Réinitialiser automatiquement tous les défauts peut créer une boucle d’émission-coupure dangereuse.
Classification
Une température élevée peut déclencher une réduction avant l’arrêt.
Un ROS extrême impose une coupure RF rapide.
Un capteur incohérent doit être traité comme un défaut, pas comme une valeur normale.
Récupération
Certains défauts disparaissent automatiquement après retour à la normale.
D’autres nécessitent un acquittement manuel.
Les défauts répétitifs doivent provoquer une escalade.
Hystérésis
Des seuils distincts d’entrée et de sortie évitent les oscillations.
Un délai de confirmation filtre les parasites.
Les défauts critiques RF doivent cependant rester immédiats.
Repères d’ingénierie
Action = fonction de la gravité, de la durée et de la répétition
Seuil retour < seuil déclenchement
Défaut critique → RF OFF avant toute journalisation longue
Contrôles systématiques
- Conserver RX comme état sûr par défaut.
- Valider chaque commande avant action matérielle.
- Mesurer le pire temps d’exécution.
- Tester les capteurs invalides et pertes de communication.
- Associer chaque correction à un test de régression.
Procédure recommandée
Validation : toute panne logicielle simulée doit ramener le matériel vers un état réception sûr et explicite.