Maîtriser : des comportements robustes et prioritaires

La routine vit dans les branches ; l'urgence vit AVANT. En tête de boucle, avant l'aiguillage, on teste le fin de course du pare-chocs : écrasé, c'est URGENCE et moteurs coupés — que le robot patrouille, évite ou recharge. On pourrait dessiner une flèche vers URGENCE depuis chaque état… mais le sixième état ajouté un jour de fatigue oublierait la sienne. Placé avant l'aiguillage, le test couvre tous les états, présents et futurs, par construction.

La sortie d'URGENCE, elle, est VOLONTAIRE : un bouton de réarmement, pressé par quelqu'un qui a vu et compris l'accident — jamais un retour automatique au bout de quelques secondes. Un robot qui repart tout seul après une collision retourne la chercher. C'est le pendant logiciel du fin de course câblé en normalement fermé : la sécurité doit être difficile à quitter, pas difficile à atteindre.

La boîte d'état peut mentir un jour de malchance : un état supprimé vers lequel une vieille flèche pointe encore, un état ajouté sans son cas, une variable jamais initialisée. Face à une valeur sans branche, l'aiguillage ne fait RIEN — et c'est le pire des comportements : les moteurs gardent leurs derniers ordres, et le robot continue sur sa lancée, sans plus aucune règle pour le surveiller.

La parade tient en deux gestes, logés dans le cas par défaut de l'aiguillage : CRIER — une ligne de journal « état inconnu », avec la valeur fautive — puis REVENIR AU SÛR — l'état refuge de la machine, le plus inoffensif : moteurs à l'arrêt, en attente d'ordres clairs. Jamais « ne rien faire » : le défaut silencieux transforme un petit bug de plomberie en robot fou. L'état inconnu est interdit ; le retour au sûr est la règle.

La table des transitions croise tout : une ligne par état, une colonne par événement — obstacle, contact, horloge, batterie, bouton. Chaque case écrit sa réponse : l'état d'arrivée, ou « on reste » EN TOUTES LETTRES. La nuance est capitale : une case vide ne dit pas si l'immobilité est une décision ou un oubli ; « on reste » écrit est une décision assumée. Les cases jamais remplies sont des bugs en germe — c'est là qu'ils éclosent.

Remplie, la table devient un plan de test : chaque case se provoque une à une sur l'établi — main devant le capteur, doigt sur le fin de course, robot soulevé, horloge qu'on laisse sonner — et se coche quand le journal imprime la transition attendue. Quatre états et cinq événements font vingt cases : une demi-heure d'essais, et le comportement n'est plus espéré, il est DÉMONTRÉ. Une case impossible à provoquer est déjà une information : peut-être une flèche morte à retirer du diagramme.

Un robot fait souvent plusieurs choses « en même temps » : rouler, et faire vivre sa LED d'annonce — fixe en patrouille, battement lent en alerte, battement rapide en urgence. La machine unique qui combinerait tout explose : trois états moteurs fois trois états de LED, neuf états combinés, douze au premier ajout. La bonne architecture : PLUSIEURS petites machines — une par préoccupation — chacune sa boîte, son aiguillage, ses flèches, exécutées l'une après l'autre dans la même boucle.

La cohabitation a une règle d'or : LIRE, jamais ÉCRIRE. La machine LED lit l'état des moteurs pour choisir son rythme ; elle n'écrit jamais dans la boîte des moteurs, et réciproquement. Chaque boîte n'a qu'un propriétaire — sa propre fonction changerEtat. Deux machines qui s'écrivent dessus recréent exactement le chaos des drapeaux contradictoires ; deux machines qui se lisent composent, proprement, des comportements riches.