Les systèmes de commande doivent être conçus et construits de manière à éviter toute situation dangereuse.
Les systèmes de commande doivent être conçus et construits de manière:
- a)à pouvoir résister, le cas échéant, compte tenu des circonstances et des risques, aux contraintes de service prévues et aux influences extérieures intentionnelles ou non intentionnelles, y compris les tentatives délibérées raisonnablement prévisibles de la part de tiers conduisant à une situation dangereuse;
- b)qu'une défaillance du matériel ou de la logique du système de commande n'entraîne pas de situation dangereuse;
- c)que des erreurs affectant la logique du système de commande n'entraînent pas de situation dangereuse;
- d)que les limites des fonctions de sécurité soient établies dans le cadre de l'appréciation du risque effectuée par le fabricant et qu'aucune modification des réglages ou des règles générés par la machine ou le produit connexe ou par les opérateurs, y compris pendant la phase d'apprentissage de la machine ou du produit connexe, ne soit autorisée lorsque de telles modifications pourraient entraîner des situations dangereuses;
- e)qu'une erreur humaine raisonnablement prévisible au cours du fonctionnement n'entraîne pas de situation dangereuse;
- f)que l'enregistrement de traçabilité des données générées en relation avec une intervention et des versions du logiciel de sécurité téléchargé après la mise sur le marché ou la mise en service de la machine ou du produit connexe soit possible pendant cinq ans après ce téléchargement, exclusivement pour démontrer la conformité de la machine ou du produit connexe avec la présente annexe à la suite d'une demande motivée d'une autorité nationale compétente.
Les systèmes de commande des machines ou des produits connexes dotés d'un comportement ou d'une logique à évolution totalement ou partiellement autonome et conçus pour fonctionner avec des niveaux d'autonomie variables doivent être conçus et construits de manière:
- a)à ne pas amener la machine ou le produit connexe à effectuer des actions allant au-delà de sa tâche et de son espace de mouvement définis;
- b)à permettre l'enregistrement des données relatives au processus décisionnel en matière de sécurité pour les systèmes de sécurité fondés sur des logiciels qui assurent la fonction de sécurité, y compris les composants de sécurité, après la mise sur le marché ou la mise en service de la machine ou du produit connexe, et à ce que ces données soient conservées pendant un an après leur collecte, exclusivement pour démontrer la conformité de la machine ou du produit connexe avec la présente annexe à la suite d'une demande motivée d'une autorité nationale compétente;
- c)à permettre à tout moment la correction de la machine ou du produit connexe afin de préserver sa sécurité intrinsèque.
Une attention particulière doit être portée aux points suivants:
- a)la machine ou le produit connexe ne doit pas se mettre en marche de manière inattendue;
- b)les paramètres de la machine ou du produit connexe ne doivent pas changer de manière incontrôlée, lorsqu'un tel changement peut entraîner des situations dangereuses;
- c)les modifications des réglages ou des règles générés par la machine ou le produit connexe ou par les opérateurs, y compris pendant la phase d'apprentissage de la machine ou du produit connexe, doivent être évitées lorsque de telles modifications pourraient entraîner des situations dangereuses;
- d)la machine ou le produit connexe ne doit pas être empêché de s'arrêter si l'ordre d'arrêt a déjà été donné;
- e)aucun élément mobile de la machine ou du produit connexe ni aucune pièce maintenue par la machine ou le produit connexe ne doit tomber ou être éjecté;
- f)l'arrêt automatique ou manuel des éléments mobiles, quels qu'ils soient, ne doit pas être empêché;
- g)les dispositifs de protection doivent rester pleinement efficaces ou donner un ordre d'arrêt;
- h)les parties du système de commande relatives à la sécurité doivent s'appliquer de manière cohérente à la totalité d'un ensemble de machines ou de produits connexes ou de quasi-machines, ou d'une combinaison de ceux-ci.
En cas de commande sans fil, une défaillance de la communication ou de la connexion ou une connexion défectueuse ne doit pas entraîner de situation dangereuse.