Steuerungen sind so zu konzipieren und zu bauen, dass es nicht zu Gefährdungssituationen kommt.
Steuerungen sind so zu konzipieren und zu bauen, dass
- a)sie gegebenenfalls den Umständen und Risiken, den zu erwartenden Betriebsbeanspruchungen und beabsichtigten und unbeabsichtigten Fremdeinflüssen, einschließlich vernünftigerweise vorhersehbarer böswilliger Versuche Dritter, die zu einer Gefährdungssituation führen, standhalten;
- b)ein Defekt der Hardware oder der Logik der Steuerung nicht zu Gefährdungssituationen führt;
- c)Fehler in der Logik der Steuerung nicht zu Gefährdungssituationen führen;
- d)die Grenzen der Sicherheitsfunktionen im Rahmen der vom Hersteller vorgenommenen Risikobeurteilung festgelegt werden und keine Änderung der von der Maschine oder dem dazugehörigen Produkt oder vom Bedienpersonal erzeugten Einstellungen oder Regeln, auch nicht während der Lernphase der Maschine oder des dazugehörigen Produkts, zulässig ist, wenn solche Änderungen zu Gefährdungssituationen führen können;
- e)vernünftigerweise vorhersehbare Bedienungsfehler nicht zu Gefährdungssituationen führen;
- f)die Aufzeichnung von Verfolgungsdaten, die in Bezug auf einen Eingriff erzeugt werden, und der Versionen der nach dem Inverkehrbringen oder der Inbetriebnahme der Maschine oder des dazugehörigen Produkts hochgeladenen Sicherheitssoftware fünf Jahre nach diesem Hochladen ermöglicht wird, und zwar ausschließlich zum Nachweis der Konformität der Maschine oder des dazugehörigen Produkts mit diesem Anhang auf begründetes Verlangen einer zuständigen nationalen Behörde.
Steuerungen von Maschinen oder dazugehörigen Produkten mit vollständig oder teilweise selbstentwickelndem Verhalten oder vollständig oder teilweise selbstentwickelnder Logik, die für den Betrieb mit unterschiedlichen Autonomiegraden konzipiert sind, sind so zu konzipieren und zu bauen, dass sie
- a)nicht dazu führen, dass die Maschine oder das dazugehörige Produkt Handlungen ausführt, die über ihre bzw. seine festgelegte Aufgabe und ihren bzw. seinen festgelegten Bewegungsraum hinausgehen;
- b)die Aufzeichnung von Daten über den sicherheitsbezogenen Entscheidungsprozess für softwarebasierte Sicherheitssysteme, die die Sicherheitsfunktion gewährleisten, einschließlich Sicherheitsbauteilen, nach dem Inverkehrbringen oder der Inbetriebnahme der Maschine oder des dazugehörigen Produkts ermöglichen und diese Daten ein Jahr nach ihrer Erhebung aufbewahrt werden, und zwar ausschließlich zum Nachweis der Konformität der Maschine oder des dazugehörigen Produkts mit diesem Anhang auf begründetes Verlangen einer zuständigen nationalen Behörde;
- c)jederzeit eine Korrektur der Maschine oder des dazugehörigen Produkts ermöglichen, um ihre bzw. seine inhärente Sicherheit aufrechtzuerhalten.
Insbesondere ist Folgendes zu beachten:
- a)Die Maschine oder das dazugehörige Produkt darf nicht unbeabsichtigt anlaufen;
- b)die Parameter der Maschine oder des dazugehörigen Produkts dürfen sich nicht unkontrolliert ändern, wenn eine derartige Änderung zu Gefährdungssituationen führen kann;
- c)Änderungen der von der Maschine oder dem dazugehörigen Produkt oder vom Bedienpersonal erzeugten Einstellungen oder Regeln, auch während der Lernphase der Maschine oder des dazugehörigen Produkts, sind zu verhindern, wenn solche Änderungen zu Gefährdungssituationen führen können;
- d)das Stillsetzen der Maschine oder des dazugehörigen Produkts darf nicht verhindert werden, wenn der Befehl zum Stillsetzen bereits erteilt wurde;
- e)kein bewegliches Teil der Maschine oder des dazugehörigen Produkts und kein von der Maschine oder dem dazugehörigen Produkt gehaltenes Werkstück darf herabfallen oder herausgeschleudert werden;
- f)das automatische oder manuelle Stillsetzen von beweglichen Teilen jeglicher Art darf nicht verhindert werden;
- g)die Schutzeinrichtungen müssen uneingeschränkt funktionsfähig bleiben oder einen Befehl zum Stillsetzen auslösen;
- h)die sicherheitsbezogenen Teile der Steuerung müssen kohärent auf die Gesamtheit einer Gesamtheit von Maschinen oder dazugehörigen Produkten oder unvollständigen Maschinen oder einer Kombination davon wirken.
Bei kabelloser Steuerung darf ein Ausfall der Kommunikation oder der Verbindung oder eine fehlerhafte Verbindung nicht zu einer Gefährdungssituation führen.