Los sistemas de mando se diseñarán y fabricarán de manera que se evite cualquier situación peligrosa.
Los sistemas de mando se diseñarán y fabricarán de manera que:
- a)puedan resistir, cuando proceda, a las circunstancias y los riesgos, a las tensiones de servicio previstas y a las influencias externas, intencionadas o no, incluidos los intentos deliberados razonablemente previsibles por parte de terceros que den lugar a una situación peligrosa;
- b)un fallo en el hardware o en la lógica del sistema de mando no dé lugar a situaciones peligrosas;
- c)los errores en la lógica del sistema de mando no den lugar a situaciones peligrosas;
- d)los límites de las funciones de seguridad se establezcan como parte de la evaluación del riesgo realizada por el fabricante, y no se permitan modificaciones de los ajustes o de las reglas generados por la máquina o el producto relacionado o por los operadores, tampoco durante la fase de aprendizaje de la máquina o del producto relacionado, cuando tales modificaciones puedan dar lugar a situaciones peligrosas;
- e)los errores humanos razonablemente previsibles durante el funcionamiento no den lugar a situaciones peligrosas;
- f)se permita el registro de trazabilidad de los datos generados en relación con una intervención y de las versiones del programa informático de seguridad cargado tras la introducción en el mercado o la puesta en servicio de la máquina o del producto relacionado durante cinco años después de dicha carga, exclusivamente con el fin de demostrar la conformidad de la máquina o del producto relacionado con el presente anexo previa solicitud motivada de una autoridad nacional competente.
Los sistemas de mando de las máquinas o de los productos relacionados con un comportamiento o una lógica total o parcialmente autoevolutivos y diseñados para funcionar con distintos niveles de autonomía se diseñarán y fabricarán de manera que:
- a)no provoquen que la máquina o el producto relacionado realicen acciones que vayan más allá de su tarea y su espacio de movimiento definidos;
- b)permitan registrar los datos relativos al proceso de toma de decisiones en materia de seguridad de los sistemas de seguridad basados en programas informáticos que garanticen la función de seguridad, incluidos los componentes de seguridad, después de que la máquina o el producto relacionado se hayan introducido en el mercado o puesto en servicio, y que dichos datos se conserven durante un año después de su recopilación, exclusivamente con el fin de demostrar la conformidad de la máquina o del producto relacionado con el presente anexo previa solicitud motivada de una autoridad nacional competente;
- c)permitan en todo momento la corrección de la máquina o del producto relacionado con el fin de preservar su seguridad intrínseca.
Se prestará especial atención a los siguientes aspectos:
- a)la máquina o el producto relacionado no deberán ponerse en marcha de forma inesperada;
- b)los parámetros de la máquina o del producto relacionado no deberán cambiar de forma incontrolada cuando tal cambio pueda dar lugar a situaciones peligrosas;
- c)se evitarán las modificaciones de los ajustes o de las reglas generados por la máquina o el producto relacionado o por los operadores, también durante la fase de aprendizaje de la máquina o del producto relacionado, cuando tales modificaciones puedan dar lugar a situaciones peligrosas;
- d)no deberá impedirse la parada de la máquina o del producto relacionado si ya se ha dado la orden de parada;
- e)ningún elemento móvil de la máquina o del producto relacionado, ni ninguna pieza sujeta por la máquina o el producto relacionado, deberá caer o ser proyectado;
- f)no deberá impedirse la parada manual o automática de los elementos móviles, cualesquiera que sean;
- g)los dispositivos de protección seguirán siendo plenamente eficaces o darán una orden de parada;
- h)las partes del sistema de mando relacionadas con la seguridad se aplicarán de manera coherente a la totalidad de un conjunto de máquinas o de productos relacionados o de cuasi máquinas o de una combinación de ellos.
En caso de mando inalámbrico, un fallo de la comunicación o de la conexión, o una conexión defectuosa, no dará lugar a una situación peligrosa.