
ICAN-Deploy : déploiement canari à identité stable pour agents incarnés en environnements critiques
Des chercheurs présentent ICAN-Deploy (Identity-stable CANary Deployment), un middleware conçu pour faire évoluer le logiciel de robots certifiés sans invalider leur certification. Le principe du déploiement canary, router une fraction du trafic vers une nouvelle version, surveiller des métriques, puis rollback si régression, est standard en DevOps cloud. Problème : les contrôleurs du marché, Argo Rollouts, Spinnaker et Flagger, modifient l'identité cryptographique du système durant la fenêtre de transition. Ce drift est inoffensif pour des microservices sans état, mais rompt pour les robots l'assurance réglementaire centrale : "l'agent certifié est l'agent déployé". ICAN-Deploy sépare les noms de capacités, figés et hachés dans le manifeste, des versions de capacités, un état runtime mutable, maintenant ainsi le hash d'identité invariant tout au long du cycle. Les auteurs valident l'invariance par preuve formelle, lint AST et model-checking TLA+, puis corroborent sur N=100 cycles canary dans un environnement MuJoCo simulant un bras Franka Panda : zéro drift observé, latence d'entrée 95% BCa CI [1,52 ; 2,01] ms.
L'enjeu est structurel pour l'industrie. Dans les secteurs à certification obligatoire (médical, aérospatial, industrie lourde), chaque mise à jour logicielle d'un robot peut déclencher un cycle de revalidation de plusieurs semaines. ICAN-Deploy renverse la logique : certifier une architecture de déploiement plutôt que chaque version individuelle. Un système certifié une fois peut ensuite évoluer librement dans l'enveloppe nom-version définie, sans recertification formelle. C'est un déblocage potentiel pour le continuous delivery sur robots en environnement de production. Le "strawman" alternatif testé, qui incorpore les versions dans le manifeste d'identité, échoue systématiquement sur les mêmes workloads, renforçant la valeur de la comparaison.
La gestion du cycle de vie logiciel des agents physiques reste un angle mort du secteur robotique. Ce travail s'inscrit dans la tendance émergente du "runtime governance" pour LLMs et agents incarnés, cherchant à réconcilier l'agilité du software moderne et les contraintes de sûreté des systèmes physiques. Le Franka Panda, standard de fait en recherche sur la manipulation depuis le rachat d'Emika GmbH par Agile Robots, facilite la reproductibilité des résultats. Le papier est un preprint arXiv (arXiv:2605.28097v1), non encore peer-reviewed, et les métriques restent à confirmer sur hardware réel hors simulation. Les étapes naturelles : intégration dans ROS 2 ou OpenRMF, et validation du modèle "certifier l'architecture, pas la version" par des organismes de certification sectoriels.
L'approche pourrait alléger les cycles de recertification imposés aux robots opérant dans les secteurs réglementés européens (médical, aérospatial, machinerie) au regard de la Directive Machines et des dispositions à hauts risques du règlement IA.
Dans nos dossiers




