I sistemi di comando devono essere progettati e costruiti in modo da evitare l'insorgere di situazioni pericolose.
I sistemi di comando devono essere progettati e costruiti in modo tale che:
- a)riescano a resistere, se del caso, a circostanze e rischi, a previste sollecitazioni di servizio e ad influssi esterni intenzionali o meno, compresi tentativi deliberati ragionevolmente prevedibili da parte di terzi che conducono a una situazione pericolosa;
- b)un'avaria nell'hardware o nella logica del sistema di comando non crei situazioni pericolose;
- c)errori della logica del sistema di comando non creino situazioni pericolose;
- d)i limiti delle funzioni di sicurezza siano stabiliti come parte della valutazione del rischio effettuata dal fabbricante e non siano consentite modifiche alle impostazioni o alle norme generate dalla macchina o dal prodotto correlato o dagli operatori, neanche durante la fase di apprendimento della macchina o del prodotto correlato, qualora tali modifiche possano determinare situazioni pericolose;
- e)errori umani ragionevolmente prevedibili nelle manovre non creino situazioni pericolose;
- f)la registrazione di tracciamento dei dati generati in relazione a un intervento e delle versioni del software di sicurezza caricato dopo l'immissione sul mercato o la messa in servizio della macchina o del prodotto correlato sia consentita per cinque anni dopo tale caricamento, esclusivamente al fine di dimostrare la conformità della macchina o del prodotto correlato rispetto al presente allegato a fronte di una richiesta motivata da parte di un'autorità nazionale competente.
I sistemi di controllo delle macchine o dei prodotti correlati dotati di un comportamento o una logica integralmente o parzialmente auto-evolutivi e che sono progettati per funzionare con livelli variabili di autonomia devono essere progettati e costruiti in maniera tale da:
- a)non essere la causa di azioni, da parte della macchina o del prodotto correlato, che vanno oltre il suo compito e il suo spazio di movimento definiti;
- b)consentire che siano registrati i dati relativi al processo decisionale in materia di sicurezza per i sistemi di sicurezza basati su software che garantiscono la funzione di sicurezza, compresi i componenti di sicurezza, dopo che la macchina o il prodotto correlato sono stati immessi sul mercato o messi in servizio, e che tali dati siano conservati per un anno dopo la loro raccolta, esclusivamente per dimostrare la conformità della macchina o del prodotto correlato al presente allegato a seguito di una richiesta motivata da parte di un'autorità nazionale competente;
- c)consentire in qualsiasi momento la correzione della macchina o del prodotto correlato al fine di preservarne la sicurezza intrinseca.
Particolare attenzione deve essere prestata a quanto segue:
- a)la macchina o il prodotto correlato non devono avviarsi in modo inatteso;
- b)i parametri della macchina o del prodotto correlato non devono cambiare in modo incontrollato, laddove tale cambiamento possa portare a situazioni pericolose;
- c)devono essere evitate le modifiche delle impostazioni o delle norme, generate dalla macchina o dal prodotto correlato o dagli operatori, anche durante la fase di apprendimento della macchina o del prodotto correlato, qualora tali modifiche possano determinare situazioni pericolose;
- d)non deve essere impedito l'arresto della macchina o del prodotto correlato, se l'ordine di arresto è già stato dato;
- e)nessun elemento mobile della macchina o del prodotto o pezzo correlato trattenuto dalla macchina o dal prodotto correlato deve cadere o essere espulso;
- f)non deve essere impedito l'arresto manuale o automatico degli elementi mobili di qualsiasi tipo;
- g)i dispositivi di protezione devono rimanere pienamente efficaci o dare un comando di arresto;
- h)le parti del sistema di controllo legate alla sicurezza si devono applicare in modo coerente all'interezza di un insieme di macchine o di prodotti correlati o di semi-macchine o di una loro combinazione.
In caso di comando wireless, un guasto della comunicazione o della connessione o una connessione difettosa non deve comportare una situazione pericolosa.