ISO/FDIS 19014-2

Earth-moving machinery — Functional safety — Part 2: Design and evaluation of hardware and architecture requirements for safety-related parts of the control system

This document specifies general principles for the development and evaluation of the machine performance level achieved (MPLa) of safety-control systems (SCS) using components powered by all energy sources (e.g. electronic, electrical, hydraulic, mechanical) used in earth-moving machinery and its equipment, as defined in ISO 6165. The principles of this document apply to machine control systems (MCS) that control machine motion or mitigate a hazard; such systems are assessed for machine performance level required (MPLr) per ISO 19014-1 or ISO/TS 19014-5. Excluded from the scope of this document are the following systems: — awareness systems that do not impact machine motion (e.g. cameras and radar detectors); — fire suppression systems, unless the activation of the system interferes with, or activates, another SCS. Other systems or components whereby the operator would be aware of failure (e.g. windscreen wipers, head lights, etc.), or are primarily used to protect property, are excluded from this document. Audible warnings are excluded from the requirements of diagnostic coverage. In addition, this document addresses the significant hazards as defined in ISO 12100 mitigated by the hardware components within the SCS. This document is not applicable to EMM manufactured before the date of its publication.

Engins de terrassement — Sécurité fonctionnelle — Partie 2: Conception et évaluation des exigences de matériel et d’architecture pour les parties du système de commande relatives à la sécurité

Le présent document spécifie les principes généraux d’élaboration et d’évaluation du niveau de performance de machine obtenu (MPLa) des systèmes de commande de sécurité (SCS) utilisant des composants alimentés par toutes les sources d’énergie (par exemple, électronique, électrique, hydraulique, mécanique) utilisées dans les engins de terrassement et leur équipement, comme défini dans l’ISO 6165. Les principes du présent document s’appliquent aux systèmes de commande d’engins (MCS) qui commandent le mouvement d’un engin ou atténuent un phénomène dangereux; ces systèmes sont évalués pour vérifier que les exigences de niveau de performance des engins (MPLr) sont conformes à l’ISO 19014‑1 ou à l’ISO/TS 19014‑5. Les systèmes suivants sont exclus du domaine d’application du présent document: — systèmes de connaissance n’ayant aucun impact sur le mouvement de l'engin (par exemple, caméras et détecteurs radar); — systèmes de lutte contre l’incendie, excepté si l’activation du système interfère ou active un autre SCS. Les autres systèmes ou composants pour lesquels les défaillances pourraient être constatées par l’opérateur (par exemple, les essuie-glaces, les phares, l’éclairage de la cabine, etc.) ou ceux qui servent essentiellement à protéger la propriété sont exclus du présent document. Les avertisseurs sonores sont exclus des exigences de la couverture de diagnostic. De plus, le présent document traite des phénomènes dangereux significatifs tels que définis dans l’ISO 12100 atténués par les composants matériels dans le SCS. Le présent document n’est pas applicable aux engins de terrassement fabriqués avant la date de sa publication.

General Information

• Status: Not Published
• ICS: 53.100 - Earth-moving machinery
• Technical Committee: ISO/TC 127/SC 2 - Safety, ergonomics and general requirements
• Drafting Committee: ISO/TC 127/SC 2/WG 24 - Control system functional safety
• Current Stage: 5000 - FDIS registered for formal approval
• Start Date: 05-Feb-2026
• Completion Date: 09-Jan-2026

Relations

• Consolidates: prEN ISO 19014-2 - Earth-moving machinery - Functional safety - Part 2: Design and evaluation of hardware and architecture requirements for safety-related parts of the control system (ISO/DIS 19014-2:2025)
• Effective Date: 12-Feb-2026
• Revises: ISO 19014-2:2022 - Earth-moving machinery — Functional safety — Part 2: Design and evaluation of hardware and architecture requirements for safety-related parts of the control system
• Effective Date: 09-Sep-2023

Overview

ISO/FDIS 19014-2 is a critical standard developed by the International Organization for Standardization (ISO) that addresses the functional safety of earth-moving machinery. Specifically, this document, titled Earth-moving machinery - Functional safety - Part 2: Design and evaluation of hardware and architecture requirements for safety-related parts of the control system, lays out general principles for designing and evaluating safety control systems (SCS) in earth-moving equipment. It ensures that the safety-critical hardware - whether electronic, electrical, hydraulic, or mechanical - reliably controls machine motion or mitigates hazards as defined by ISO 6165.

This standard applies to new earth-moving machinery and their equipment, emphasizing machine control systems (MCS) and safety-related parts of the control system (SRP/CS) that are essential for hazard mitigation. Systems focused purely on operator awareness, property protection, or those whose failure would be obvious to the operator are excluded from its scope. ISO/FDIS 19014-2 builds on principles set out in ISO 19014-1 and related standards, aiming to improve risk reduction and compliance with global safety requirements.

Key Topics

• Machine Performance Level Achieved (MPLa):
  Methods for evaluating the performance level achieved by the control system hardware, ensuring safety functions meet required reliability.
• System Design Principles:
  Guidance for system architecture, documentation of safety requirements, redundancy, diversity, and monitoring for fault tolerance.
• Hardware Evaluation:
  Requirements for fault analysis, fault exclusion, mean time to dangerous failure (MTTFd), and diagnostic coverage (DC), using methodologies from ISO 13849-1 and ISO 13849-2.
• Category Classifications:
  Application of designated architectures and categories (based on hardware fault tolerance and systematic design) for safety functions, ensuring alignment with complex earth-moving machinery systems.
• Exclusions and Limitations:
  Clearly defines which system types, such as awareness-only systems and audible warnings, are excluded from diagnostic coverage requirements.

Applications

The practical value of ISO/FDIS 19014-2 lies in its comprehensive approach to safety in the design and evaluation of earth-moving machines, such as excavators, loaders, bulldozers, and graders. Key applications include:

• Manufacturer Compliance:
  Earth-moving machinery manufacturers use this standard to demonstrate that safety-related hardware (e.g., electrical, hydraulic, mechanical control systems) achieves the necessary machine performance levels and reliability for safe operation.
• System Design and Upgrades:
  Engineers rely on these principles for designing new safety control architectures or when upgrading existing systems, ensuring that all design considerations are documented, hazards are properly mitigated, and compliance with international standards is maintained.
• Risk Assessment and Reduction:
  The standard guides the rigorous assessment of hazards identified per ISO 12100, application of proven hardware design practices, and evaluation of fault tolerance and diagnostic coverage to minimize the risk of accidents or uncontrolled machine movements.
• Maintenance and Lifecycle Management:
  Requirements for documentation and instructions (such as maintenance intervals and environmental considerations) help owners, operators, and maintenance providers sustain the safe performance of control systems over the machine’s lifecycle.
• Market Access and Regulatory Compliance:
  Adopting ISO/FDIS 19014-2 helps organizations align with regulatory expectations in international markets, providing a consistent methodology for safety-critical system design.

Related Standards

To ensure holistic compliance and robust safety practices, ISO/FDIS 19014-2 is closely related to the following international standards:

• ISO 12100: Safety of machinery – General principles for design – Risk assessment and risk reduction.
• ISO 13849-1 & ISO 13849-2: Safety of machinery – Safety-related parts of control systems – General design principles and validation.
• ISO 19014-1: Methodology for determining safety-related parts and performance requirements.
• ISO 19014-3: Environmental performance and testing requirements for safety-critical components.
• ISO 19014-4: Design and evaluation of software and data transmission for safety control systems.
• ISO 19014-5: Table of machine performance levels.

ISO/FDIS 19014-2 is a key resource for anyone involved in the design, evaluation, and maintenance of earth-moving machinery safety control systems, supporting operational safety, reliability, and international best practices.

Standards Content (Sample)

DRAFT
International
Standard
ISO/DIS 19014-2.2
ISO/TC 127/SC 2
Earth-moving machinery —
Secretariat: ANSI
Functional safety —
Voting begins on:
Part 2: 2025-07-25
Design and evaluation of hardware
Voting terminates on:
2025-09-19
and architecture requirements for
safety-related parts of the control
system
Engins de terrassement — Sécurité fonctionnelle —
Partie 2: Conception et évaluation des exigences de matériel et
d’architecture pour les parties relatives à la sécurité du système
de commande
ICS: 53.100
THIS DOCUMENT IS A DRAFT CIRCULATED
FOR COMMENTS AND APPROVAL. IT
IS THEREFORE SUBJECT TO CHANGE
AND MAY NOT BE REFERRED TO AS AN
INTERNATIONAL STANDARD UNTIL
PUBLISHED AS SUCH.
This document is circulated as received from the committee secretariat.
IN ADDITION TO THEIR EVALUATION AS
BEING ACCEPTABLE FOR INDUSTRIAL,
TECHNOLOGICAL, COMMERCIAL AND
USER PURPOSES, DRAFT INTERNATIONAL
STANDARDS MAY ON OCCASION HAVE TO
ISO/CEN PARALLEL PROCESSING
BE CONSIDERED IN THE LIGHT OF THEIR
POTENTIAL TO BECOME STANDARDS TO
WHICH REFERENCE MAY BE MADE IN
NATIONAL REGULATIONS.
RECIPIENTS OF THIS DRAFT ARE INVITED
TO SUBMIT, WITH THEIR COMMENTS,
NOTIFICATION OF ANY RELEVANT PATENT
RIGHTS OF WHICH THEY ARE AWARE AND TO
PROVIDE SUPPORTING DOCUMENTATION.
Reference number
ISO/DIS 19014-2.2:2025(en)
DRAFT
ISO/DIS 19014-2.2:2025(en)
International
Standard
ISO/DIS 19014-2.2
ISO/TC 127/SC 2
Earth-moving machinery —
Secretariat: ANSI
Functional safety —
Voting begins on:
Part 2:
2025-07-25
Design and evaluation of
Voting terminates on:
2025-09-19
hardware and architecture
requirements for safety-related
parts of the control system
Engins de terrassement — Sécurité fonctionnelle —
Partie 2: Conception et évaluation des exigences de matériel et
d’architecture pour les parties relatives à la sécurité du système
de commande
ICS: 53.100
THIS DOCUMENT IS A DRAFT CIRCULATED
FOR COMMENTS AND APPROVAL. IT
IS THEREFORE SUBJECT TO CHANGE
AND MAY NOT BE REFERRED TO AS AN
INTERNATIONAL STANDARD UNTIL
PUBLISHED AS SUCH.
This document is circulated as received from the committee secretariat.
IN ADDITION TO THEIR EVALUATION AS
BEING ACCEPTABLE FOR INDUSTRIAL,
© ISO 2025
TECHNOLOGICAL, COMMERCIAL AND
USER PURPOSES, DRAFT INTERNATIONAL
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
STANDARDS MAY ON OCCASION HAVE TO
ISO/CEN PARALLEL PROCESSING
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
BE CONSIDERED IN THE LIGHT OF THEIR
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
POTENTIAL TO BECOME STANDARDS TO
WHICH REFERENCE MAY BE MADE IN
or ISO’s member body in the country of the requester.
NATIONAL REGULATIONS.
ISO copyright office
RECIPIENTS OF THIS DRAFT ARE INVITED
CP 401 • Ch. de Blandonnet 8
TO SUBMIT, WITH THEIR COMMENTS,
CH-1214 Vernier, Geneva
NOTIFICATION OF ANY RELEVANT PATENT
Phone: [phone]
RIGHTS OF WHICH THEY ARE AWARE AND TO
PROVIDE SUPPORTING DOCUMENTATION.
Email: [e-mail]
Website: www.iso.org
Published in Switzerland Reference number
ISO/DIS 19014-2.2:2025(en)
ii
ISO/DIS 19014-2.2:2025(en)
Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 2
4 Symbols and abbreviated terms. 3
5 General requirements . 4
5.1 Application .4
5.2 Existing SCS .4
5.3 Safety requirements and/or protective/risk reduction measures .4
6 System design . 4
6.1 Overview .4
6.2 General requirements .5
6.3 Hardware design .5
7 System safety performance evaluation . 6
7.1 Machine performance level achieved (MPL ) .6
a
7.2 Hardware safety evaluation .7
7.2.1 General .7
7.2.2 Fault consideration .7
7.2.3 Fault exclusion .7
7.2.4 Mean time to dangerous failure (MTTF ) .8
d
7.3 Diagnostic coverage (DC) .8
7.3.1 DC of ESCS . .8
7.3.2 DC of N/ESCS .8
7.4 Requirements for MPL = d for hydraulic steering and braking systems .8
a
7.4.1 General .8
7.5 Category classifications .9
7.5.1 General .9
7.5.2 Category B/Category 1 . 12
7.5.3 Category 2 .14
7.5.4 Conflicting safety functions .14
7.5.5 Considerations for the SRP/CS of fail-operational systems .14
7.6 Combination of SCS to achieve an overall MPL .14
a
8 Information for use and maintenance .16
8.1 General .16
8.2 Operator’s manual .16
Annex A (informative) Example systems and evaluations . 17
Annex B (normative) Compatibility with other functional safety standards .32
Annex C (informative) Safety function evaluation .33
Annex D (normative) Exceptions, exclusions, additions to ISO 13849-1:2023 and ISO 13849-
2:2012 .34
Annex ZA (informative) Relationship between this European Standard and the essential
requirements of Regulation (EU) 2023/1230 aimed to be covered .37
Bibliography .38

iii
ISO/DIS 19014-2.2:2025(en)
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out through
ISO technical committees. Each member body interested in a subject for which a technical committee
has been established has the right to be represented on that committee. International organizations,
governmental and non-governmental, in liaison with ISO, also take part in the work. ISO collaborates closely
with the International Electrotechnical Commission (IEC) on all matters of electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are described
in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the different types
of ISO document should be noted. This document was drafted in accordance with the editorial rules of the
ISO/IEC Directives, Part 2 (see www.iso.org/directives).
ISO draws attention to the possibility that the implementation of this document may involve the use of (a)
patent(s). ISO takes no position concerning the evidence, validity or applicability of any claimed patent
rights in respect thereof. As of the date of publication of this document, ISO [had/had not] received notice of
(a) patent(s) which may be required to implement this document. However, implementers are cautioned that
this may not represent the latest information, which may be obtained from the patent database available at
www.iso.org/patents. ISO shall not be held responsible for identifying any or all such patent rights.
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and expressions
related to conformity assessment, as well as information about ISO's adherence to the World Trade
Organization (WTO) principles in the Technical Barriers to Trade (TBT), see www.iso.org/iso/foreword.html.
This document was prepared by Technical Committee ISO/TC 127, Earth-moving machinery, Subcommittee
SC 2, Safety, ergonomics and general requirements, in collaboration with the European Committee for
Standardization (CEN) Technical Committee CEN/TC 151, Construction equipment and building material
machines - Safety, in accordance with the Agreement on technical cooperation between ISO and CEN (Vienna
Agreement).
This second edition cancels and replaces the first edition (ISO 19014-2:2022), which has been technically
revised.
The main changes are as follows:
— referenced standards dated;
— correction of MPL error in Annex D and correction to the typographical errors “MPL ” and “MPL.” in
a
Figure D.1;
—
A list of all parts in the ISO 19014 series can be found on the ISO website.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www.iso.org/members.html.

iv
ISO/DIS 19014-2.2:2025(en)
Introduction
This document addresses systems of all energy types used for functional safety in earth-moving machinery.
The structure of safety standards in the field of machinery is as follows:
— Type-A standards (basis standards) give basic concepts, principles for design and general aspects that
can be applied to machinery.
— Type-B standards (generic safety standards) deal with one or more safety aspects, or one or more types
of safeguards that can be used across a wide range of machinery:
— type-B1 standards on particular safety aspects (e.g. safety distances, surface temperature, noise);
— type-B2 standards on safeguards (e.g. two-hands controls, interlocking devices, pressure sensitive
devices, guards).
— Type-C standards (machinery safety standards) deal with detailed safety requirements for a particular
machine or group of machines.
This document is a type-C standard as stated in ISO 12100:2010.
This document is of relevance, in particular, for the following stakeholder groups representing the market
players with regard to machinery safety:
— machine manufacturers (small, medium and large enterprises);
— health and safety bodies (regulators, accident prevention organisations, market surveillance etc.)
Others can be affected by the level of machinery safety achieved with the means of the document by the
above-mentioned stakeholder groups:
— machine users/employers (small, medium and large enterprises);
— machine users/employees (e.g. trade unions, organizations for people with special needs);
— service providers, e. g. for maintenance (small, medium and large enterprises);
— consumers (in case of machinery intended for use by consumers).
The above-mentioned stakeholder groups have been given the possibility to participate at the drafting
process of this document.
The machinery concerned and the extent to which hazards, hazardous situations or hazardous events are
covered are indicated in the Scope of this document.
When requirements of this type-C standard are different from those which are stated in type-A or type-B
standards, the requirements of this type-C standard take precedence over the requirements of the other
standards for machines that have been designed and built according to the requirements of this type-C
standard.
v
DRAFT International Standard ISO/DIS 19014-2.2:2025(en)
Earth-moving machinery — Functional safety —
Part 2:
Design and evaluation of hardware and architecture
requirements for safety-related parts of the control system
1 Scope
This document specifies general principles for the development and evaluation of the machine performance
level achieved (MPL ) of safety-control systems (SCS) using components powered by all energy sources
a
(e.g.electrical, hydraulic, mechanical) used in earth-moving machinery and its equipment, as defined in
ISO 6165:2022.
The principles of this document apply to machine control systems (MCS) that control machine motion
or mitigate a hazard; such systems are assessed for machine performance level required (MPL ) per
r
ISO 19014-1:202X or ISO 19014-5:202X. Requirements for the application of functional safety throughout the
software development lifecyle are addressed in ISO 19014-4:202X.
This document excludes the following systems:
— awareness systems that do not impact machine motion (e.g. cameras and radar detectors);
— fire suppression systems, unless the activation of the system interferes with, or activates, another SCS.
This document also excludes other systems or components where the operator would be aware of failure
(e.g. windscreen wipers, head lights), or are primarily used to protect property. Audible warnings are
excluded from the requirements of diagnostic coverage.
In addition, this document addresses the significant hazards as defined in ISO 12100:2010 mitigated by the
hardware components within the SCS.
This document is not applicable to EMM manufactured before the date of its publication.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content constitutes
requirements of this document. For dated references, only the edition cited applies. For undated references,
the latest edition of the referenced document (including any amendments) applies.
ISO 12100:2010, Safety of machinery — General principles for design — Risk assessment and risk reduction
ISO 13849-1:2023, Safety of machinery — Safety-related parts of control systems — Part 1: General principles
for design
ISO 13849-2:2012, Safety of machinery — Safety-related parts of control systems — Part 2: Validation
ISO 19014-1:202X, Earth-moving machinery — Functional safety — Part 1: Methodology to determine safety-
related pars of the control system and performance requirements
ISO 19014-3:202X, Earth-moving machinery — Functional safety — Part 3: Environmental performance and
test requirements of electronic and electrical components used in safety-related parts of the control system
ISO 19014-4:202X, Earth-moving machinery — Functional safety — Part 4: Design and evaluation of software
and data transmission for safety-related parts of the control system

ISO/DIS 19014-2.2:2025(en)
ISO 19014-5:202X, Earth-moving machinery — Functional safety — Part 5: Table of Machine Performance Levels
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO 12100:2010, ISO 13849-1:2023,
and ISO 19014-1:202X and the following apply.
ISO and IEC maintain terminology databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at https:// www .electropedia .org/
3.1
electronic safety control system (ESCS)
safety control system made of electronic components from input device to output device
3.2
function
defined behaviour of one or more MCS
Note 1 to entry: A control unit (e.g. electronic control unit) can execute more than one function. When multiple safety
functions are contained in a control unit, each safety function and the associated circuit are analysed separately.
3.3
non-electronic safety control system (N/ESCS)
safety control system made of non-electronic components from input device to output device
3.4
safe state
condition in which, after a fault of the safety control system, the controlled equipment, process or system
is automatically or manually stopped or switched into a mode that prevents unintended behaviour or the
potentially hazardous release of stored energy
Note 1 to entry: A safe state can also include maintaining the function (3.2) of the safety control system (e.g. steering)
in the presence of a single fault depending on the hazard being mitigated.
[SOURCE: ISO 3450:2011, 3.15, modified — "malfunction" has been replaced by "fault"; "performance" has
been replaced by "behaviour"; Note 1 to entry has been added.]
3.5
well-tried component
component for a safety-related application that has been widely used in the past with successful results in
the same or similar applications and which has been made and verified using principles which demonstrate
its suitability and reliability for safety-related applications.
3.6
hardware fault tolerance
HFT
property of a subsystem to potentially lose the safety function upon at least N+1 faults.
Note 1 to entry: A hardware fault tolerance of N means that N+1 faults of a subsystem could cause a loss of the safety
function.
[SOURCE: IEC 62061:2021, 3.2.35]
3.7
fail-operational system
system capable of operating after a failure

ISO/DIS 19014-2.2:2025(en)
3.8
fail - safe
designed to return to a safe condition in the event of a failure or malfunction, etc.
[SOURCE: ISO 21927-1:2008(en), 3.6]
4 Symbols and abbreviated terms
For the purposes of this document, the following symbols and abbreviated terms apply.
a, b, c, d, e graduation of machine performance levels
ASIC application specific integrated circuit
B, 1, 2, 3, 4 denotation of categories
CCF common cause failure
DC diagnostic coverage
DC average diagnostic coverage
avg
ECU electronic control unit
EMM earth-moving machinery
ESCS electronic safety control system
FMEA failure modes and effects analysis
FMEDA failure modes, effects and diagnostics analysis
FPGA field programmable gate array
HFT hardware fault tolerance
MCS machine control system
MPL machine performance level
MPL machine performance level achieved
a
MPL machine performance level required
r
MTTF mean time to failure
MTTF mean time to dangerous failure
d
N/ESCS non-electronic safety control system
OTE output of test equipment
P/A performance level
PL parelle add
SCS safety control system
SRP/CS safety-related part of the control system
TE test equipment
ISO/DIS 19014-2.2:2025(en)
5 General requirements
5.1 Application
The ISO 19014 series shall be used in conjunction with the ISO 13849 series when applied to earth-moving
machinery (EMM). Where specific requirements are given in this document, they take precedence over the
requirements in the ISO 13849 series; however, where no specific requirements are given in this document,
the ISO 13849 series shall apply, using PL instead of MPL (e.g. MPL = b is analogous to PL = b). For a summary
of applicable clauses in the ISO 13849 series or this document, see Tables D.1 and D.2 in Annex D.
The principles of this document shall be applied to MCS that are deemed SCS in ISO 19014-1:202X or
ISO 19014-5:202X. Other machine control systems that interfere with or mute a safety function of the
safety control system shall be assigned the same machine performance level as the system it is interfering
with or muting.
Safety related software within any components within the SCS shall meet the requirements of
ISO 19014-4:202X.
5.2 Existing SCS
Where an existing SCS has been developed to a previous standard and demonstrated through application
usage and validation to reduce the likelihood of a hazard to as low as reasonably practicable, there shall
be no requirement to update the lifecycle documentation. When the previously utilized SCS is modified, an
impact analysis (see ISO 19014-4:202X, 3.27) of the modifications shall be performed and an action plan
developed and implemented to ensure that the safety requirements are met.
5.3 Safety requirements and/or protective/risk reduction measures
Machinery shall comply with the safety requirements and/or protective/risk reduction measures of this
clause. In addition, the machine shall be designed according to the principles of ISO 12100:2010 for relevant
but not significant hazards which are not dealt with by this document.
6 System design
6.1 Overview
Many safety functions on mobile machines do not have run and stop outputs like non-mobile machine safety
functions normally do and are not always added to a machine purely to mitigate a hazard. For example,
steering, service brakes, swing, and equipment controls can have modulated or variable outputs within a
certain range. While these types of systems can fit into the ISO 13849 series architectures, designers need
to consider how the characteristics of the safety functions can differ on a mobile machine Considerations
include, for example:
a) Does the system need closed loop control rather than open loop to address incorrect application rates?
b) Does the system need to address hazards associated with uncommanded activation as well as failure
on demand?
A safety function which relies on a control system to provide necessary hazard mitigation for the machine
can be implemented by an SCS within the scope of this document. An SCS can contain one or more SRP/CS,
and several SCS can share one or more SRP/CS (e.g. a logic unit, power control elements). It is also possible
that one SRP/CS implements both safety and non-safety functions.
NOTE For immediate action warning indicators, refer to ISO 19014-1:202X, Annex B.
Some systems on mobile machines need to maintain an operable state during a failure. While
ISO 13849-1:2023 allows for this, additional measures are necessary to ensure this happens safely and that
parallel channels do not conflict with each other and that the systems function as the requirements for the
claimed architecture specifies.

ISO/DIS 19014-2.2:2025(en)
Annex B sets the minimum requirements that shall be met for utilizing systems, sub-systems and SRP/CS
developed and evaluated by methods other than the ISO 19014 series.
6.2 General requirements
After the safety functions of the SCS have been identified, the safety function requirements shall be
documented. During the safety lifecycle, safety requirements are detailed and specified in greater detail at
hierarchical levels. All safety requirements shall be described such that they are unambiguous, consistent
with other requirements, and feasible to implement.
The following design considerations shall be taken into account:
— conflicting input or output signals;
— loss of signal and actuation energies to either system (e.g. separate oil supplies for each channel,
redundant power supplies for ECUs);
— conflicting safe states required by multiple failure types that are being addressed by the system;
— systems that require fail-operational functionality;
— the assessment processes are independent from the design process;
— when SCS are designed to be used in a synchronized manner (e.g. task automation), the control system
shall be designed to mitigate hazards due to lack of synchronization.
NOTE An EMM example of this synchronization is an excavator boom, arm, and bucket being controlled
simultaneously by a grade control system.
6.3 Hardware design
The hardware structure of the SCS can provide measures (e.g. redundancy, diversity, and monitoring)
for avoiding, detecting, or tolerating faults. Practical measures can include redundancy, diversity, and
monitoring.
The hardware development process shall conform to ISO 13849-1:2023 as outlined in Annex E. The designer
should begin at the system level where safety functions and associated requirements are identified. The
system may be decomposed into subsystems for easier development.
Where applicable, each phase of the development cycle shall be verified.
See Figure 1 for a depiction of the hardware development process in the form of a V-model. Any organized,
proven design process which meets the requirements of the ISO 19014 series may be used to complete the
design process.
ISO/DIS 19014-2.2:2025(en)
Figure 1 — Hardware development V-model
7 System safety performance evaluation
7.1 Machine performance level achieved (MPL )
a
The achieved integrity of safety-related parts to perform a safety function is expressed through the
determination of the MPL .
a
The ability to perform a safety function under expected environmental conditions as specified in
ISO 19014-3:202X shall be demonstrated and documented.
The procedure for evaluating MPL is as follows:
a
a) identify the component operating environment and stress level;
b) identify components;
c) identify and document fault exclusions (7.2), or by using the appropriate system analysis (e.g. FMEA,
fault-tree analysis.);
d) calculate the MTTF (see ISO 13849-1:2023, Annex D,), and verify the MTTF meets the required level
d d
(see ISO 13849-1:2023);
e) determine if the hardware can provide the required level of DC (ISO 13849-1:2023, Annex E). For
systems relying on software interaction to determine diagnostic coverage, this analysis can only
determine if the hardware is available to support DC, not verify that the DC requirement for the system
has been met;
f) consider CCF (see ISO 13849-1:2023, Annex F) if required;

ISO/DIS 19014-2.2:2025(en)
g) consider systematic failure (ISO 13849-1:2023, Annex G);
h) consider possible interaction from other safety functions;
i) for FPGA and ASIC design, see IEC 61508-2:2010, Annexes E or F.
Systems that are assigned QM, are addressed by a quality management system (e.g. ISO 9001 or equivalent). .
See Annex C for supplementary information on safety function evaluation.
7.2 Hardware safety evaluation
7.2.1 General
ISO 13849-2:2012, Annexes A to D list the faults, fault exclusions and failures for various types of components
but are not exhaustive. Any additional faults, fault exclusions and failures considered shall be listed and the
method of evaluation should be clearly explained.
A failure mode and effects analysis (FMEA), fault-tree analysis, or equivalent system analysis shall be
performed to establish the faults and fault exclusions.
7.2.2 Fault consideration
If, because of a fault, further components fail, the first fault together with all following faults are considered
a single fault. Two or more faults having a common cause are considered a single fault (known as a CCF). The
simultaneous occurrence of two or more faults having separate causes is highly unlikely and need not be
considered.
7.2.3 Fault exclusion
Fault exclusions are used in the development of hardware as a means of mitigating the failure mechanisms
leading to known hazards in accordance with recognized industry best practices. Fault exclusion is a
compromise between technical safety requirements and the theoretical possibility of occurrence of a fault.
Fault exclusion can be based on the following criteria:
— the technical improbability of occurrence of some faults;
— generally accepted technical experience, independent of the considered application;
— technical requirements related to the application and the specific hazard.
If faults are excluded, a detailed justification shall be given in the technical documentation.
Fault exclusions can be applied through the following hierarchy.
1. Fault by fault basis — After all faults are identified, some faults may be excluded based on the above
criteria; those not fault excluded may be handled by diagnostic means within the control system.
2. Component level — If all known SCS faults can be fault-excluded at a component level, then the
component can be fault-excluded entirely.
3. System level — If all faults in all components have been addressed by fault exclusion, analysis of
hydraulic systems may be performed using the process in 7.4. Purely mechanical systems can be fault
excluded at the system level if components are designed to an appropriate safety factor and maintenance
requirements to maintain the correct functionality of the system are included in the service literature
per Clause 8.
ISO/DIS 19014-2.2:2025(en)
7.2.4 Mean time to dangerous failure (MTTF )
d
The process for determining MTTF is outlined in ISO 13849-1:2023, 6.1.4. While ISO 13849-1 recommends
d
the principle assumption of 50 % for hazardous failure rate (e.g. B = 2 × B ), lower failure rates may be
10d 10
used if supported by analysis (e.g. empirical data, FMEA).
7.3 Diagnostic coverage (DC)
7.3.1 DC of ESCS
Refer to ISO 13849-1:2023, 6.1.5.
7.3.2 DC of N/ESCS
The DC of non-electronic systems is determined by one or more of the following.
a) Selecting the most applicable analogous type of diagnostic coverage score in ISO 13849-1:2023, Annex E.
For example, a shuttle valve comparing oil pressures and performing an action based on those pressures
is comparable to continuous monitoring; therefore, a score of 99 % may be given.
b) Calculation of DC percentage through an FMEDA.
c) Fault exclusion may be applicable for all or some failures. If only some, but not all, failures are excluded
then the appropriate DC shall be calculated.
d) Direct mechanical linkage of components can be considered 99 % DC.
7.4 Requirements for MPL = d for hydraulic steering and braking systems
a
7.4.1 General
Hydraulic (hydro-mechanical and electro-hydraulic) steering and braking systems assessed to MPL =
r
d shall have a secondary oil supply and pressure monitoring with a warning when the oil pressure being
supplied to the system is low (see ISO 5010:2019 and ISO 3450:2011 for requirements).
The following systems meet the requirement for a secondary oil supply:
— hydraulic steering systems that continue to steer in the case of a failure of the primary oil supply;
— braking systems that spring-apply the brake in the case of low oil pressure.
Spring-applied brakes and orbital valve steering capable of providing steering with no pump pressure do
not require a warning because they can maintain the safe state without any additional operator action.
Additionally, hydro-mechanical steering and braking control systems shall be designed according to one of
the following options:
— Designed to meet the architectural and corresponding category requirements per 7.5 of this document
Or
— Be designed to meet the requirements of category 1 and qualify for an Earth-Moving Machine specific
fault exclusion by meeting the following requirements.
— Instructions, in the operator’s manual or other service literature (see clause 8), on how to maintain
the system over the life cycle of the machine, including but not limited to:
— System operation is within specified limits
— Procedures to warm hydraulic oil to operating condition
— Compatible oil types
ISO/DIS 19014-2.2:2025(en)
— Maintenance intervals and activities
— Oil cleanliness requirements
— Safety requirements have been shared with the supplier.
— Basic and well-tried safety principles that apply to the hydraulic system (see ISO 13849-2 Annex C)
— Demonstrate that the system has adequate performance for the application through established
performance requirements
— Components need to be qualified according to their intended purpose.
— Components should be placed to minimize the impact of water, mud, or other environmental contaminants
on the reliable operation of the components.
— Component vibration performance shall be verified to be compatible with machine vibration profile.
— The filtration system provided shall be capable of maintaining the cleanliness level required when
performing filter changes based on instructions in the operating and maintenance or service manuals.
The OEM shall provide evidence in the functional safety documentation that support the fault exclusion claim
7.5 Category classifications
7.5.1 General
The appropriate architecture shall be selected to meet the requirements of the system. Although the variety
of possible structures is high, the basic concepts are often similar. Thus, structures which are present can
be mapped into one of the categories described in ISO 13849-1:2023, 6.1.3. For each category, a typical
representation as a safety-related block diagram is given. These typical realizations are called designated
architectures and are listed in the context of each of the following categories.
Some SCS are highly complex and do not necessarily match one of the designated architectures exactly.
Designs fulfilling the properties of the respective category in general are equivalent to the respective
designated architecture of the category. Figures 2 and 3 show general architectures not specific
examples. A deviation from these architectures is possible, but any deviation shall be justified by means of
appropriate analytical tools, demonstrating the system meets the required performance level. For alternate
architectures, the hardware fault tolerance (HFT), and any other requirement, shall remain equivalent to
the relevant category. The designated architectures shall be considered as logical diagrams, not simply
circuit diagrams. For categories 3 and 4, this means that not all parts are necessarily physically redundant
but that there are redundant means of assuring that a fault cannot lead to the loss of a safety function (e.g.
an ECU with parallel processing, cross monitoring and external watch dogs is considered category 3 or 4).
When there are two or more components in parallel within a function block (ILO), and the failure of more
than one component is required to cause a loss of the safety function, that block can be considered a category
3 function (see 7.6 for parallel add).
Table 1 gives an overview of the categories for SCS, the requirements and the system behaviour in case of
faults. Well-tried components shall be used for Category 1 and should be used for all other categories. A well-
tried component for a safety-related application shall be a component which has been:
a) widely used in the past with successful results in similar applications; or
b) made and verified using principles and technologies which demonstrate suitability and reliability for
safety-related applications. Design and verification activities used should include (where applicable):
— fitting the definition of a well-tried component in this document;
— bench testing of load ability and functionality;
— proof testing to loads to a suitable safety factor;

ISO/DIS 19014-2.2:2025(en)
— accelerated durability testing;
— computer-aided analysis and physical correlation studies;
— environmental testing per ISO 19014-3:202X;
— supporting the required MTTF .; or
d
c) listed in ISO 13849-2:2012, Annexes A to D
MCS that interfere with, or mute, a safety function of the SCS shall be assigned the same machine
performance level as the SCS, unless it can be shown to require a different MPL per ISO 19014-1:202X or
r
ISO 19014-5:202X.
Table 1 — Summary of requirements for categories
CCF evalua-
Category Summary of requirements System behaviour MTTF DC HFT
d
tion
B SRP/CS and/or their protec- The occurrence of a low to me- none NA 0
tive equipment, as well as fault can lead to the dium
their components, shall be loss of a safety func-
designed, constructed, select- tion.
ed, assembled, and combined
in accordance with relevant
standards so that they can
withstand the expected influ-
ence. Basic safety principles
shall be used.
1 Requirements of category B The occurrence of a high none NA 0
shall apply. Well-tried com- fault can lead to the
ponents and well-tried safety loss of a safety func-
principles shall be used. tion. The safe perfor-
mance of the machine
is greater than what is
required for a catego-
ry B system.
a
2 Requirements of category B The occurrence of low low to me- required 0
and the use of well-tried safe- a fault can lead to dium
ty principles shall apply. Safe- the loss of a safety
ty function shall be checked function, but an action
at suitable intervals by the to reduce the risk
machine control system. associated to the fault
is taken. Faults in
the input and output
devices are detected
as appropriate and
reasonably practicable
at or before the next
demand upon the safe-
ty function.
a
A category 2 architecture can be sensitive to a CCF.

ISO/DIS 19014-2.2:2025(en)
TTabablele 1 1 ((ccoonnttiinnueuedd))
CCF evalua-
Category Summary of requirements System behaviour MTTF DC HFT
d
tion
3 Requirements of category When a single fault low to high low to me- required 1
B and the use of well-tried occurs the safety dium
safety principles shall apply. function is always
Safety-related parts shall be performed, but an
designed, so that a single fault accumulation of
in any of these parts does not undetected faults
lead to the loss of the safety can lead to the loss of
function, and whenever rea- the safety function.
sonably practicable, the single Some faults in the
fault is detected. input, logic and output
devices are detected
at or before the next
demand upon the safe-
ty function.
4 Requirements of category When a single fault high high required 1
B and the use of well-tried occurs, the safety
safety principles shall apply. function is always
Safety-related parts shall performed, but an
be designed, so that a single accumulation of
fault in any of these parts undetected faults can
does not lead to a loss of the lead to the loss of the
safety function, and the single safety function. The
fault is detected at or before safe performance of
the next demand upon the the machine is greater
safety function, but that if this than what is required
detection is not possible, an for a category 3 sys-
accumulation of undetected tem. All faults in the
faults shall not lead to the loss input, logic and output
of the safety function. devices are detected
at or before the next
demand upon the
safety function or the
accumulation of faults
cannot lead to the loss
of the safety function.
a
A category 2 architecture can be sensitive to a CCF.
For the designated architectures described in Table 2 below the following typical assumptions are made:
— mi
...

PROJET
Norme
internationale
ISO/DIS 19014-2.2
ISO/TC 127/SC 2
Engins de terrassement — Sécurité
Secrétariat: ANSI
fonctionnelle —
Début de vote:
Partie 2: 2025-07-25
Conception et évaluation
Vote clos le:
2025-09-19
des exigences de matériel et
d’architecture pour les parties du
système de commande relatives à la
sécurité
Earth-moving machinery — Functional safety —
Part 2: Design and evaluation of hardware and architecture
requirements for safety-related parts of the control system
ICS: 53.100
CE DOCUMENT EST UN PROJET DIFFUSÉ
POUR OBSERVATIONS ET APPROBATION. IL
EST DONC SUSCEPTIBLE DE MODIFICATION
ET NE PEUT ÊTRE CITÉ COMME NORME
INTERNATIONALE AVANT SA PUBLICATION EN
TANT QUE TELLE.
OUTRE LE FAIT D’ÊTRE EXAMINÉS POUR
Ce document n’a pas été rédigé par le Secrétariat central de l’ISO.
ÉTABLIR S’ILS SONT ACCEPTABLES À DES
FINS INDUSTRIELLES, TECHNOLOGIQUES ET
COMMERCIALES, AINSI QUE DU POINT DE VUE
DES UTILISATEURS, LES PROJETS DE NORMES
INTERNATIONALES DOIVENT PARFOIS ÊTRE
TRAITEMENT PARALLÈLE ISO/CEN
CONSIDÉRÉS DU POINT DE VUE DE LEUR
POSSIBILITÉ DE DEVENIR DES NORMES
POUVANT SERVIR DE RÉFÉRENCE DANS LA
RÉGLEMENTATION NATIONALE.
LES DESTINATAIRES DU PRÉSENT PROJET
SONT INVITÉS À PRÉSENTER, AVEC LEURS
OBSERVATIONS, NOTIFICATION DES DROITS
DE PROPRIÉTÉ DONT ILS AURAIENT
ÉVENTUELLEMENT CONNAISSANCE
ET À FOURNIR UNE DOCUMENTATION
EXPLICATIVE.
Numéro de référence
ISO/DIS 19014-2.2:2025(fr)
ISO 19014-1:2025(fr)
ISO TC 127/SC 2
ISO/DIS 19014-2.2:2025(fr)
Date : 2025-07-10
Engins de terrassement — Sécurité fonctionnelle — Partie 2 :
Conception et évaluation des exigences de matériel et d’architecture
pour les parties du système de commande relatives à la sécurité

Étape DIS
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2025
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
Type de document :  Erreur ! Source du renvoi introuvable.
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
Sous-type de document :  Erreur ! Source du renvoi introuvable.
ISO copyright office
Stade du document :  Erreur ! Source du renvoi introuvable.
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève Langue du document :  Erreur ! Source du renvoi introuvable.
Tél.: [phone]
E-mail: [e-mail]
Erreur ! Source du renvoi introuvable.
Web: www.iso.org
Publié en Suisse
ii
ISO 19014-2:2025(fr)
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de
cette publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé,
électronique ou mécanique, y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans
autorisation écrite préalable. Une autorisation peut être demandée à l’ISO à l’adresse ci-après ou au comité
membre de l’ISO dans le pays du demandeur.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone : [phone]
E-mail : [e-mail]
Website : www.iso.org
Publié en Suisse
iii
ISO 19014-2:2025(fr)
Sommaire
Page
Avant-propos . vi
Introduction . viii
1 Domaine d’application . 1
2 Références normatives . 1
3 Termes et définitions . 2
4 Symboles et abréviations . 3
5 Exigences générales . 4
5.1 Application. 4
5.2 SCS existant . 5
5.3 Prescriptions de sécurité et/ou mesures de prévention/réduction du risque . 5
6 Conception du système. 6
6.1 Présentation . 6
6.2 Exigences générales . 6
6.3 Conception du matériel . 7
7 Évaluation des performances de sécurité du système . 8
7.1 Niveau de performance de machine obtenu (MPL ) . 8
a
7.2 Évaluation de la sécurité du matériel . 8
7.2.1 Généralités . 8
7.2.2 Prise en compte des défauts . 9
7.2.3 Exclusion de défauts . 9
7.2.4 Temps moyen avant une défaillance dangereuse (MTTF ) . 9
d
7.3 Couverture de diagnostic (DC) . 9
7.3.1 DC de l’ESCS . 9
7.3.2 DC du N/ESCS . 10
7.4 Exigences pour MPL = d pour les systèmes de direction et de freinage hydrauliques
a
................................................................................................................................................................. 10
7.4.1 Généralités . 10
7.5 Classifications par catégories . 11
7.5.1 Généralités . 11
7.5.2 Catégorie B/Catégorie 1 . 16
7.5.3 Catégorie 2 . 18
7.5.4 Fonctions de sécurité en conflit . 18
7.5.5 Considérations relatives aux SRP/CS des systèmes opérationnels après défaillance
................................................................................................................................................................. 18
7.6 Combinaison de SCS pour obtenir un MPL global . 19
a
8 Informations pour l’utilisation et la maintenance . 21
8.1 Généralités . 21
8.2 Manuel de l’opérateur . 21
(informative) Exemples de systèmes et d’évaluations . 22
A.1 Généralités . 22
A.2 Exemple 1 — Direction électrohydraulique, catégorie B . 22
A.3 Exemple 2 — Direction hydraulique/hydraulique, catégorie 1 . 24
A.4 Exemple 3 — Frein de stationnement électrique/hydraulique, catégorie 1 . 26
© ISO #### – All rights reserved
iv
ISO 19014-2:2025(fr)
A.5 Exemple 4 — Direction électrohydraulique avec frein de stationnement
automatique, catégorie 2 . 27
A.6 Exemple 5 — Système de direction hydraulique, catégorie 1, conçu pour satisfaire à
MPLa = d. 33
A.7 Exemple 6 — Frein de service électrohydraulique, catégorie 3 . 35
(normative) Compatibilité avec d’autres normes de sécurité fonctionnelle . 39
(informative) Évaluation de la fonction de sécurité . 40
(normative) Exceptions, exclusions, ajouts à l’ISO 13849-1:2023 et l’ISO 13849-
2:2012 . 41
Annexe ZA (informative) Relation entre la présente Norme européenne et les exigences
essentielles concernées du Règlement (UE) 2023/1230 . 45
Bibliographie. 46

v
ISO 19014-2:2025(fr)
Avant-propos
L’ISO (Organisation internationale de normalisation) est une fédération mondiale d’organismes
nationaux de normalisation (comités membres de l’ISO). L’élaboration des Normes internationales est
en général confiée aux comités techniques de l’ISO. Chaque comité membre intéressé par une étude a le
droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l’ISO, participent également aux travaux.
L’ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier, de prendre note des différents
critères d’approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L’ISO attire l’attention sur le fait que la mise en application du présent document peut entraîner
l’utilisation d’un ou de plusieurs brevets. L’ISO ne prend pas position quant à la preuve, à la validité et à
l’applicabilité de tout droit de propriété revendiqué à cet égard. À la date de publication du présent
document, l’ISO [avait/n’avait pas] reçu notification qu’un ou plusieurs brevets pouvaient être
nécessaires à sa mise en application. Toutefois, il y a lieu d’avertir les responsables de la mise en
application du présent document que des informations plus récentes sont susceptibles de figurer dans
la base de données de brevets, disponible à l’adresse www.iso.org/brevets. L’ISO ne saurait être tenue
pour responsable de ne pas avoir identifié tout ou partie de tels droits de propriété.
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l’ISO liés à l’évaluation de la conformité, ou pour toute information au sujet de l’adhésion
de l’ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www.iso.org/avant-propos.
Le présent document a été élaboré par le comité ISO/TC 127, Engins de terrassement, sous-comité SC 2,
Sécurité, ergonomie et exigences générales, en collaboration avec le comité technique CEN/TC 151,
Machines de génie civil et de production de matériaux de construction — Sécurité, du Comité européen de
normalisation (CEN), conformément à l’Accord de coopération technique entre l’ISO et le CEN (Accord
de Vienne).
Cette deuxième édition annule et remplace la première édition (ISO 19014-2:2022), qui a fait l’objet
d’une révision technique.
Les principales modifications sont les suivantes :
— les normes de référence ont été datées ;
— correction de l’erreur de MPL dans l’Annexe D et correction des erreurs typographiques « MPL » et
a
« MPL. » à la Figure D.1 ;
—
Une liste de toutes les parties de la série ISO 19014 se trouve sur le site Web de l’ISO.
© ISO #### – All rights reserved
vi
ISO 19014-2:2025(fr)
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l’adresse www.iso.org/fr/members.html.
vii
ISO 19014-2:2025(fr)
Introduction
Le présent document traite des systèmes de tout type d’énergie utilisés pour assurer la sécurité
fonctionnelle des engins de terrassement.
Dans le domaine de la sécurité des machines, les normes sont articulées de la façon suivante :
— normes de type A (normes fondamentales de sécurité), contenant des notions fondamentales, des
principes de conception et des aspects généraux relatifs aux machines ;
— normes de type B (normes génériques de sécurité), traitant d’un ou de plusieurs aspects de la
sécurité ou d’un ou de plusieurs types de moyens de protection qui peuvent être utilisés pour une
large gamme de machines :
⎯ — normes de type B1, traitant d’aspects particuliers de la sécurité (par exemple, distances de
sécurité, température superficielle, bruit) ;
⎯ — normes de type B2, traitant de moyens de protection (par exemple, commandes
bimanuelles, dispositifs de verrouillage, dispositifs sensibles à la pression, protecteurs) ;
— normes de type C (normes de sécurité par catégorie de machines), traitant des exigences de sécurité
détaillées s’appliquant à une machine particulière ou à un groupe de machines particulier.
Le présent document est une norme de type C telle que définie dans l’ISO 12100:2010.
Le présent document concerne, en particulier, les groupes de parties prenantes suivants représentant
les acteurs du marché en ce qui concerne la sécurité des machines :
— fabricants de machines (petites, moyennes et grandes entreprises) ;
— organismes de santé et de sécurité (autorités réglementaires, organismes de prévention des risques
professionnels, surveillance du marché, etc.).
D’autres partenaires peuvent être concernés par le niveau de sécurité des machines atteint à l’aide du
document par les groupes de parties prenantes mentionnés ci-dessus :
— utilisateurs de machines / employeurs (petites, moyennes et grandes entreprises) ;
— utilisateurs de machines / employés (par exemple, syndicats, organisations pour les personnes
ayant des besoins spéciaux) ;
— prestataires de services, par exemple, pour la maintenance (petites, moyennes et grandes
entreprises) ;
— consommateurs (dans le cas de machines destinées à l’utilisation par les consommateurs).
Les groupes de parties prenantes mentionnés ci-dessus ont eu la possibilité de participer à l’élaboration
du présent document.
Les machines concernées et l’étendue des phénomènes, situations ou événements dangereux couverts
sont indiquées dans le domaine d’application du présent document.
Lorsque les prescriptions de la présente norme de type C diffèrent de celles spécifiées dans les normes
de type A ou B, les exigences de la présente norme de type C prévalent sur celles des autres normes pour
© ISO #### – All rights reserved
viii
ISO 19014-2:2025(fr)
les machines qui ont été conçues et construites conformément aux exigences de la présente norme de
type C.
ix
ISO 19014-2:2025(fr)
Engins de terrassement — Sécurité fonctionnelle — Partie 2 :
Conception et évaluation des exigences de matériel et
d’architecture pour les parties du système de commande
relatives à la sécurité
1 Domaine d’application
Le présent document spécifie les principes généraux d’élaboration et d’évaluation du niveau de
performance de machine obtenu (MPL ) des systèmes de commande de sécurité (SCS) utilisant des
a
composants alimentés par toutes les sources d’énergie (par exemple, électrique, hydraulique,
mécanique) utilisées dans les engins de terrassement et leur équipement, comme défini dans
l’ISO 6165:2022.
Les principes du présent document s’appliquent aux systèmes de commande de la machine (MCS) qui
commandent le mouvement d’une machine ou atténuent un phénomène dangereux ; ces systèmes sont
évalués pour vérifier que les exigences de niveau de performance de machine requis (MPL ) sont
r
conformes à l’ISO 19014-1:202X ou l’ISO 19014-5:202X. Les exigences relatives à l’application de la
sécurité fonctionnelle tout au long du cycle de développement d’un logiciel sont traitées dans
l’ISO 19014-4:202X.
Le présent document exclut les systèmes suivants :
— systèmes de connaissance n’ayant aucun impact sur le mouvement de la machine (par exemple,
caméras et détecteurs radar) ;
— systèmes de lutte contre l’incendie, excepté si l’activation du système interfère ou active un autre
SCS.
Le présent document exclut également les autres systèmes ou composants pour lesquels des défaillances
pourraient être constatées par l’opérateur (par exemple, les essuie-glaces, les phares, l’éclairage de la
cabine) ou ceux qui servent essentiellement à protéger la propriété. Les avertisseurs sonores sont exclus
des exigences de la couverture de diagnostic.
De plus, le présent document traite des phénomènes dangereux significatifs tels que définis dans l’ISO
12100:2010 atténués par les composants matériels dans le SCS.
Le présent document n’est pas applicable aux engins de terrassement fabriqués avant la date de sa
publication.
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu’ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l’édition citée s’applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
ISO 12100:2010, Sécurité des machines — Principes généraux de conception — Appréciation du risque et
réduction du risque
ISO 13849-1:2023, Parties des systèmes de commande relatives à la sécurité — Partie 1 : Principes
généraux de conception
ISO 19014-2:2025(fr)
ISO 13849-2:2012, Parties des systèmes de commande relatives à la sécurité — Partie 2 : Validation
ISO 19014-1:202X, Engins de terrassement — Sécurité fonctionnelle — Partie 1 : Méthodologie pour la
détermination des parties du système de commande relatives à la sécurité et les exigences de performance
ISO 19014-3:202X, Engins de terrassement — Sécurité fonctionnelle — Partie 3 : Exigences pour la
performance environnementale et l’essai des composants électroniques et électriques utilisés dans les parties
du système de commande relatives à la sécurité
ISO 19014-4:202X, Engins de terrassement — Sécurité fonctionnelle — Partie 4 : Conception et évaluation
du logiciel et de la transmission des données pour les parties du système de commande relatives à la sécurité
ISO 19014-5:202X, Engins de terrassement — Sécurité fonctionnelle — Partie 5 : Tableau des niveaux de
performance
3 Termes et définitions
Pour les besoins du présent document, les termes et les définitions de l’ISO 12100:2010, l’ISO 13849-
1:2023 et l’ISO 19014-1:202X ainsi que les suivants s’appliquent.
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes :
— ISO Online browsing platform : disponible à l’adresse https://www.iso.org/obp
— IEC Electropedia : disponible à l’adresse https://www.electropedia.org/
3.1
système de commande électronique de sécurité (ESCS)
système de commande de sécurité constitué de composants électroniques, du dispositif d’entrée au
dispositif de sortie
3.2
fonction
comportement défini d’un ou de plusieurs MCS
Note 1 à l’article : Une unité de commande (par exemple, unité de commande électronique) peut exécuter plusieurs
fonctions. Lorsque plusieurs fonctions de sécurité sont contenues dans une unité de commande, chaque fonction de
sécurité et le circuit associé sont analysés de façon séparée.
3.3
système de commande non électronique de sécurité (N/ESCS)
système de commande de sécurité constitué de composants non électroniques, du dispositif d’entrée au
dispositif de sortie
3.4
état de sécurité
état dans lequel l’équipement, le processus ou le système commandé est automatiquement ou
manuellement arrêté ou basculé dans un mode permettant d’empêcher un comportement inattendu ou
le dégagement potentiellement dangereux d’énergie accumulée à la suite d’un défaut du système de
contrôle-commande de l’engin
Note 1 à l’article : Un état de sécurité peut inclure également le maintien de la fonction (3.2) du système de
commande de sécurité (par exemple, la direction) en cas de défaut unique, selon le type de danger devant être
réduit.
ISO 19014-2:2025(fr)
[SOURCE : ISO 3450:2011, 3.15, modifié — « dysfonctionnement » a été remplacé par « défaut »,
« fonctionnement » a été remplacé par « comportement » et la Note 1 à l’article a été ajoutée.]
3.5
composant éprouvé
composant pour utilisation relative à la sécurité qui a été largement utilisé dans le passé avec des
résultats satisfaisants pour les mêmes utilisations ou des utilisations similaires, et qui a été fabriqué et
vérifié en utilisant les principes qui démontrent qu’il est adapté et fiable pour les utilisations relatives à
la sécurité
3.6
tolérance aux anomalies du matériel
HFT
aptitude d’un sous-système à la perte potentielle de la fonction de sécurité en cas de N+1 anomalies au
moins
Note 1 à l’article : Une tolérance aux anomalies du matériel N signifie que N+1 anomalies d’un sous-système peuvent
provoquer la perte de la fonction de sécurité.
[SOURCE : IEC 62061:2021, 3.2.35]
3.7
système opérationnel après défaillance
système capable de fonctionner après une défaillance
3.8
à sécurité intégrée
conçu pour retrouver une condition de sécurité en cas de défaillance ou de dysfonctionnement, etc.
[SOURCE : ISO 21927-1:2008(en), 3.6]

4 Symboles et abréviations
Pour les besoins du présent document, les symboles et abréviations suivants s’appliquent.
a, b, c, d, e niveaux de performance requis de la machine
ASIC circuit intégré spécifique à l’application
B, 1, 2, 3, 4 dénomination des catégories
CCF défaillance de cause commune
DC couverture du diagnostic
DC couverture du diagnostic moyenne
moy
ECU unité de commande électronique
EMM engin de terrassement
ISO 19014-2:2025(fr)
ESCS système de commande électronique de sécurité
AMDE analyse des modes de défaillance et de leurs effets
AMDED analyse des modes de défaillance, de leurs effets et de leurs diagnostics
FPGA circuit logique programmable
HFT tolérance aux anomalies du matériel
MCS système de commande de la machine
MPL niveau de performance de machine
MPLa niveau de performance de machine obtenu
MPL niveau de performance de machine requis
r
MTTF temps moyen avant défaillance
MTTF temps moyen avant une défaillance dangereuse
d
N/ESCS système de commande non électronique de sécurité
OTE sortie de l’équipement d’essai
PL niveau de performance
A/P ajout parallèle
SCS système de commande de sécurité
SRP/CS partie d’un système de commande relative à la sécurité
TE équipement d’essai
5 Exigences générales
5.1 Application
La série ISO 19014 doit être utilisée conjointement avec la série ISO 13849 lorsqu’elle s’applique aux
engins de terrassement (EMM). Lorsque des exigences spécifiques sont données dans le présent
document, celles-ci l’emportent sur celles de la série ISO 13849 ; cependant, lorsqu’aucune exigence
spécifique n’est donnée dans le présent document, la série ISO 13849 doit s’appliquer, en utilisant PL à la
place de MPL (par exemple, MPL = b est analogue à PL = b). Pour un résumé des articles applicables dans
la série ISO 13849 ou le présent document, voir Tableaux D.1 et D.2 à l’Annexe D.
Les principes du présent document doivent être appliqués aux MCS considérés comme des SCS dans
l’ISO 19014-1:202X ou l’ISO 19014-5:202X. Les autres systèmes de commande de la machine qui
ISO 19014-2:2025(fr)
perturbent ou inhibent une fonction de sécurité du système de commande de sécurité doivent se voir
attribuer le même niveau de performance de machine que le système qu’ils perturbent ou inhibent.
Les logiciels liés à la sécurité dans tous les composants du SCS doivent répondre aux exigences de
l’ISO 19014-4:202X.
5.2 SCS existant
Lorsqu’un SCS existant a été élaboré conformément à une norme précédente et qu’il a été démontré à
travers l’utilisation et la validation de l’application qu’il réduisait la probabilité d’un phénomène
dangereux au niveau le plus bas pouvant raisonnablement être atteint, il n’est pas nécessaire de mettre à
jour la documentation du cycle de vie. Lorsque le SCS utilisé précédemment est modifié, une analyse
d’impact (voir ISO 19014-4:202X, 3.27) des modifications doit être effectuée et un plan d’action doit être
élaboré et mis en œuvre pour vérifier que les exigences de sécurité sont satisfaites.
5.3 Prescriptions de sécurité et/ou mesures de prévention/réduction du risque
Les machines doivent être conformes aux exigences de sécurité et/ou aux mesures de
prévention/réduction des risques du présent article. De plus, la machine doit être conçue selon les
principes de l’ISO 12100:2010 pour les phénomènes dangereux pertinents mais non significatifs qui ne
sont pas traités dans le présent document.

ISO 19014-2:2025(fr)
6 Conception du système
6.1 Présentation
De nombreuses fonctions de sécurité des machines mobiles ne sont pas équipées de sorties de marche et
arrêt comme pour les fonctions de sécurité des machines non mobiles et ces sorties ne sont pas toujours
ajoutées sur une machine uniquement pour atténuer les phénomènes dangereux. Par exemple, les
commandes de direction, de freins de service, d’orientation et des accessoires peuvent avoir des sorties
modulées ou variables dans certaines limites. Même si ce type de systèmes peut s’intégrer dans les
architectures de la série ISO 13849, les concepteurs doivent tenir compte de la manière dont les
caractéristiques des fonctions de sécurité peuvent différer sur une machine mobile. Les considérations
en la matière incluent, par exemple, des questions telles que :
a) Le système a-t-il besoin d’une commande en boucle fermée ou en boucle ouverte pour traiter les taux
d’applications incorrectes ?
b) Le système doit-il traiter les phénomènes dangereux associés à une activation non commandée ainsi
que les pannes sur demande ?
Une fonction de sécurité qui repose sur un système de commande visant à fournir l’atténuation des
phénomènes dangereux nécessaire pour la machine peut être mise en œuvre par un SCS dans le cadre du
présent document. Un SCS peut contenir une ou plusieurs SRP/CS, et plusieurs SCS peuvent partager une
ou plusieurs SRP/CS (par exemple, une unité logique, des pré-actionneurs). Une SRP/CS peut aussi mettre
en œuvre à la fois des fonctions de sécurité et des fonctions non liées à la sécurité.
NOTE Pour les indicateurs d’avertissement d’action immédiate, voir ISO 19014-1:202X, Annexe B.
Certains systèmes sur les machines mobiles doivent maintenir un état de fonctionnement même en cas
de panne. Même si l’ISO 13849-1:2023 le permet, des mesures supplémentaires sont nécessaires pour
s’assurer que cela puisse se produire en toute sécurité et que les canaux parallèles ne sont pas en conflit
les uns avec les autres et que les systèmes fonctionnent conformément aux exigences de l’architecture
déclarée.
L’Annexe B définit les exigences minimales devant être respectées pour utiliser des systèmes, sous-
systèmes et SRP/CS développés et évalués par des méthodes autres que celles de la série ISO 19014.
6.2 Exigences générales
Une fois les fonctions de sécurité du SCS identifiées, les exigences correspondant à chaque SCS doivent
être documentées. Pendant le cycle de vie de sécurité, les exigences de sécurité sont détaillées et
spécifiées de manière plus approfondie selon des niveaux hiérarchiques. Toutes les exigences de sécurité
doivent être écrites de manière à ne pas présenter d’ambiguïtés, à être cohérentes avec les autres
exigences et à pouvoir être mises en œuvre.
Les aspects de conception suivants doivent être pris en compte :
— les signaux d’entrée ou de sortie contradictoires ;
— la perte de signaux et d’énergie d’actionnement pour l’un ou l’autre système (par exemple,
alimentation en huile séparée pour chaque canal, alimentation redondante pour les ECU) ;
— les états de sécurité conflictuels requis par les multiples types de défaillance traités par le système ;
— les systèmes qui exigent un concept de fonctionnement opérationnel après défaillance ;
ISO 19014-2:2025(fr)
— les processus d’évaluation sont indépendants du processus de conception ;
— lorsque les SCS sont conçus pour être utilisés de manière synchronisée (par exemple, dans le cadre
de l’automatisation d’une tâche), le système de commande doit être conçu de manière à pouvoir
atténuer les phénomènes dangereux dus à un manque de synchronisation.
NOTE Un exemple EMM de cette synchronisation est une flèche, un bras et un godet d’une pelle hydraulique qui
sont commandés simultanément par un système de commande de nivellement.
6.3 Conception du matériel
La structure du matériel des SCS peut fournir des mesures (par exemple, redondance, diversité et
surveillance) permettant d’éviter, de détecter ou de tolérer les défauts. Les mesures pratiques peuvent
inclure la redondance, la diversité et la surveillance.
Le processus de développement matériel doit se conformer à l’ISO 13849-1:2023, tel que mentionné à
l’Annexe E. Il convient que le concepteur commence au niveau du système où les fonctions de sécurité et
les exigences associées sont identifiées. Le système peut être décomposé en sous-systèmes pour faciliter
le développement.
Le cas échéant, chaque phase du cycle de développement doit être vérifiée.
La Figure 1 décrit le processus de développement matériel en forme de modèle en V. Tout processus
éprouvé organisé qui satisfait aux exigences de la série ISO 19014 peut être utilisé pour compléter le
processus de conception.
Figure 1 — Développement matériel — Modèle en V
ISO 19014-2:2025(fr)
7 Évaluation des performances de sécurité du système
7.1 Niveau de performance de machine obtenu (MPL )
a
L’intégrité obtenue des parties relatives à la sécurité à réaliser une fonction de sécurité est exprimée par
la détermination du MPL .
a
L’aptitude à réaliser une fonction de sécurité dans les conditions environnementales escomptées comme
le prévoit l’ISO 19014-3:202X doit être démontrée et documentée.
La procédure d’évaluation de MPL est la suivante :
a
a) identifier l’environnement de fonctionnement du composant et le niveau de contrainte ;
b) choisir les composants ;
c) identifier et documenter les exclusions de défauts (7.2) ou utiliser l’analyse du système appropriée
(par exemple, AMDE, analyse par arbre de défaillances) ;
d) calculer le MTTF (voir ISO 13849-1:2023, Annexe D) et vérifier que le MTTF satisfait aux niveaux
d d
requis (voir ISO 13849-1:2023) ;
e) déterminer si le matériel peut fournir le niveau de DC requis (ISO 13849-1:2023, Annexe E). Pour les
systèmes reposant sur une interaction logicielle pour déterminer une couverture de diagnostic, cette
analyse vise à déterminer uniquement si le matériel est en mesure de supporter la DC et non pas à
vérifier que les exigences de DC du système sont satisfaites ;
f) si nécessaire, prendre en compte la CCF (voir ISO 13849-1:2023, Annexe F) ;
g) prendre en compte la défaillance systématique (ISO 13849-1:2023, Annexe G) ;
h) prendre en compte une éventuelle interaction avec d’autres fonctions de sécurité ;
i) pour une conception de FPGA et d’ASIC, voir IEC 61508-2:2010, Annexes E ou F.
Les systèmes auxquels est attribuée une QM sont traités par un système de management de la qualité
(par exemple ISO 9001 ou équivalent).
Voir Annexe C pour des informations supplémentaires concernant l’évaluation de la fonction de sécurité.
7.2 Évaluation de la sécurité du matériel
7.2.1 Généralités
L’ISO 13849-2:2012, Annexes A à D, énumère les défauts, les exclusions de défauts et les défaillances pour
plusieurs types de composants, mais n’est pas exhaustive. Tous autres défauts, exclusions de défauts et
défaillances pris en compte doivent être énumérés et il convient d’expliquer clairement la méthode
d’évaluation.
Une analyse des modes de défaillance et de leurs effets (AMDE), une analyse par arbre de défaillances ou
une analyse du système équivalente doit être réalisée pour établir les défauts et les exclusions de défauts.

ISO 19014-2:2025(fr)
7.2.2 Prise en compte des défauts
Si, en conséquence d’un défaut, des composants supplémentaires sont défectueux, le premier défaut et
tous les suivants sont considérés comme constituant un défaut unique. Deux défauts ou plus ayant une
cause commune sont considérés comme constituant un seul défaut (désigné « défaillance de cause
commune » (CCF)). L’occurrence simultanée d’au moins deux défauts indépendants est très peu probable
et n’a donc pas à être prise en considération.
7.2.3 Exclusion de défauts
Les exclusions de défauts sont utilisées dans le développement matériel comme moyen d’atténuer les
mécanismes de défaillance entraînant des phénomènes dangereux connus conformément aux meilleures
pratiques de l’industrie. Une exclusion de défauts constitue un compromis entre des exigences techniques
de sécurité et la possibilité théorique d’occurrence d’un défaut.
L’exclusion de défauts peut reposer sur les critères suivants :
— l’improbabilité technique de l’occurrence de certains défauts ;
— l’expérience technique généralement admise qui peut s’appliquer indépendamment de l’application
considérée ;
— des exigences techniques relatives à l’application et au phénomène dangereux spécifique.
La documentation technique doit justifier de manière détaillée tous les défauts exclus.
Les exclusions de défauts peuvent s’appliquer à travers la hiérarchie suivante :
1. sur la base de chaque défaut examiné l’un après l’autre : une fois tous les défauts identifiés, certains
peuvent être exclus sur la base des critères ci-dessus. Les autres peuvent être gérés par diagnostic
au sein du système de commande ;
2. au niveau du composant : si tous les défauts de SCS connus peuvent être exclus au niveau du
composant, l’exclusion du défaut peut s’appliquer à la totalité du composant ;
3. au niveau du système : si tous les défauts dans tous les composants ont été traités par exclusions de
défauts, une analyse des systèmes hydrauliques peut être réalisée en utilisant le processus en 7.4.
Des systèmes purement mécaniques peuvent faire l’objet d’une exclusion de défauts au niveau du
système si des composants sont conçus selon un coefficient de sécurité approprié et que des
exigences de maintenance pour conserver la fonctionnalité correcte du système sont incluses dans
la documentation d’entretien conformément à l’Article 8.
7.2.4 Temps moyen avant une défaillance dangereuse (MTTF )
d
Le processus de détermination du MTTF est mentionné dans l’ISO 13849-1:2023, 6.1.4. Tandis que
d
l’ISO 13849-1 recommande l’hypothèse de principe de 50 % de défaillance dangereuse (par exemple, B
10d
= 2 × B ), des taux de défaillance inférieurs peuvent être utilisés s’ils sont pris en charge par des analyses
(par exemple, données empiriques, AMDE).
7.3 Couverture de diagnostic (DC)
7.3.1 DC de l’ESCS
Voir ISO 13849-1:2023, 6.1.5.
ISO 19014-2:2025(fr)
7.3.2 DC du N/ESCS
La DC des systèmes non électriques est déterminée de la ou des façons suivantes.
a) Sélection du type analogue le plus applicable de la note de couverture de diagnostic dans l’ISO 13849-
1:2023, Annexe E. Par exemple, une vanne sélecteur de circuit qui compare les pressions d’huile et
exécute une action sur la base de ces pressions est comparable à une surveillance continue. Dans ce
cas, une note de 99 % peut lui être attribuée.
b) Calcul du pourcentage de la DC au moyen d’une AMDED.
c) L’exclusion de défauts peut être appliquée à toutes les défaillances ou seulement à certaines d’entre
elles. Si seules certaines défaillances sont exclues, la DC appropriée doit alors être calculée.
d) Le couplage mécanique direct de composants peut être considéré comme constituant une DC de
99 %.
7.4 Exigences pour MPL = d pour les systèmes de direction et de freinage hydrauliques
a
7.4.1 Généralités
Les systèmes de direction et de freinage hydrauliques (hydromécaniques et électrohydrauliques) évalués
à MPL = d doivent avoir une alimentation en huile secondaire et une surveillance de la pression avec un
r
avertissement lorsque la pression d’huile fournie au système est faible (voir ISO 5010:2019 et
ISO 3450:2011 pour les exigences).
Les systèmes suivants satisfont aux exigences d’alimentation en huile secondaire :
— les systèmes de direction hydrauliques qui continuent à diriger en cas de défaillance de l’alimentation
en huile primaire ;
— les systèmes de freinage qui actionnent le frein par ressort en cas de faible pression d’huile.
Les freins actionnés par ressort et la direction à clapet de répartition de débit capables de fournir une
direction sans pression de pompe ne nécessitent pas d’avertissement car ils peuvent maintenir l’état de
sécurité sans action supplémentaire de l’opérateur.
En outre, les systèmes de commande de direction et de freinage hydromécaniques doivent être conçus
conformément à l’une des options suivantes :
— pour satisfaire aux exigences architecturales et de catégorie correspondantes conformément à 7.5 du
présent document ;
ou
— pour satisfaire aux exigences de la catégorie 1 et être admissibles à une exclusion de défauts
spécifiques aux engins de terrassement en satisfaisant aux exigences suivantes :
⎯ instructions, dans le manuel de l’opérateur ou dans toute autre documentation d’entretien (voir
Article 8), sur la manière d’entretenir le système tout au long du cycle de vie de la machine, y
compris, sans toutefois s’y limiter :
⎯ fonctionnement du système dans les limites spécifiées ;
ISO 19014-2:2025(fr)
⎯ procédures pour chauffer l’huile hydraulique jusqu’à son état de fonctionnement ;
⎯ types d’huile compatibles ;
⎯ intervalles et activités de maintenance ;
⎯ exigences de propreté de l’huile ;
— les exigences de sécurité ont été partagées avec le fournisseur ;
— principes de sécurité de base et éprouvés qui s’appliquent au système hydraulique (voir ISO 13849-
2, Annexe C) ;
— démontrer, par le biais d’exigences de performance établies, que le système a des performances
adéquates pour l’application ;
— il est nécessaire de qualifier les composants en fonction de leur destination ;
— il convient de placer les composants de manière à réduire le plus possible l’impact de l’eau, de la boue
ou d’autres contaminants environnementaux sur le fonctionnement fiable des composants ;
— la performance vibratoire des composants doit être vérifiée pour être compatible avec le profil
vibratoire de la machine ;
— le système de filtration fourni doit être capable de maintenir le niveau de propreté requis lors des
changements de filtre, conformément aux instructions des manuels d’utilisation et de maintenance
ou d’entretien.
Le fabricant d’équipement d’origine doit fournir des preuves dans la documentation de sécurité
fonctionnelle à l’appui de la demande d’exclusion de défauts.
7.5 Classifications par catégories
7.5.1 Généralités
L’architecture appropriée doit être sélectionnée pour satisfaire aux exigences du système. Même s’il
existe une grande variété de structures possibles, les concepts de base sont souvent similaires. Ainsi, les
structures présentes peuvent être mises en correspondance avec l’une des catégories décrites dans
l’ISO 13849-1:2023, 6.1.3. Une représentation type sous forme de diagramme relatif à la sécurité est
fournie pour chaque catégorie. Ces réalisations typiques sont appelées « architectures désignées » et sont
énumérées dans le contexte de chacune des catégories suivantes.
ISO 19014-2:2025(fr)
Certains SCS sont très complexes et ne correspondent pas toujours exactement à l’une des architectures
désignées. Les conceptions qui satisfont les propriétés de la catégorie respective sont généralement
équivalentes à l’architecture désignée correspondante de la catégorie. Les Figures 2 et 3 représentent des
architectures générales, non des exemples spécifiques. Un écart par rapport à ces architectures est
possible, mais doit être justifié au moyen d’outils analytiques appropriés pouvant démontrer que le
système satisfait au niveau de performance requis. Pour les architectures alternatives, la tolérance aux
anomalies du matériel (HFT) et toute autre exigence doivent rester équivalentes à la catégorie concernée.
Les architectures désignées doivent être considérées comme des diagra
...