Tout a des tolérances, donc le niveau de réinitialisation contre la surtension doit être légèrement supérieur au niveau minimum auquel il est garanti que la puce fonctionne correctement.
Il est donc possible que la panne se déclenche bien avant le dysfonctionnement de la puce. Vous devez donc vous demander, pour cette région, où la puce peut fonctionner correctement mais vous ne pouvez pas en être sûr, choisiriez-vous
- laisser la puce fonctionner et espérer le meilleur (ça pourrait marcher!), ou
- de laisser la puce être réinitialisée (et maintenue en réinitialisation) par le circuit de panne de courant.
Si le coût du dysfonctionnement n’est pas beaucoup plus élevé que le coût du non-fonctionnement du tout, la première option est préférable. Pensez à la fonctionnalité Ping d'une "boîte noire" d'avion. Je vous en prie, laissez-le continuer s'il a la moindre chance que cela donne un ping!
De l'autre côté, envisagez le déclenchement d'une bombe ou d'un airbag de voiture. S'il y a la moindre chance qu'il se déclenche accidentellement en raison d'une basse tension, il vaut mieux qu'il s'éteigne tout seul. Cela suppose bien sûr que la fermeture de moyens ne s'enflamme pas!
Il y a des situations où aucun bon choix n'est disponible. Considérez le fameux premier lancement de fusée Ariane V. Le ou les ordinateurs de contrôle de la direction ont mal fonctionné (dans ce cas, cela n’est pas dû à une faible puissance). Que devrait-il faire? Continuer signifie sans doute que l'on se dirige dans la mauvaise direction, mais arrêter signifie ne pas diriger du tout, ce qui donne le même résultat. Ce n’est pas non plus une belle perspective pour les personnes dans le bunker de contrôle dans lequel la fusée pourrait se perdre :(
Comme le remarque Ross, une sauvegarde est bien sûr une bonne idée pour un système à mission circulaire. Mais cela déplace le problème de conception vers cette sauvegarde. Et si ça échoue? (Dans la pratique, il y en a souvent trois, actifs tout le temps, avec un vote à la majorité.) Dans le cas d'Ariane 5, les ordinateurs principal et les ordinateurs de secours ont échoué (bien que ce ne soit pas de leur faute, mais c'est une autre histoire). C’est qu’un autre système (peut-être même un humain dans la salle de contrôle) a-t-il détecté que tout était incontrôlable et a déclenché l’autodestruction. Mieux vaut que la fusée explose dans les airs et tombe par petits morceaux dans la mer qui la fait poursuivre son vol en une seule pièce dans une direction quelconque.