ISO 13851:2019

Safety of machinery - Two-hand control devices - Principles for design and selection

This document specifies the safety requirements of a two-hand control device (THCD) and the dependency of the output signal from the actuation by hand of the control actuating devices. This document describes the main characteristics of THCDs for the achievement of safety and sets out combinations of functional characteristics for three types. It does not apply to devices intended to be used as enabling devices, as hold-to-run devices or as special control devices. This document does not specify with which machines THCDs shall be used. It also does not specify which types of two-hand-control device shall be used for a specific application. Moreover, while guidance is given, it does not specify the required distance between the THCD and the danger zone (see 8.8). This document provides requirements for design and guidance on the selection (based on a risk assessment) of THCDs including the prevention of defeat, the avoidance of faults and verification of compliance. NOTE 1 A THCD only offers protection for the person using it. NOTE 2 For specific machines, the suitability of a two-hand control as a suitable protective device can be defined in a type-C standard. If such a standard does not exist or is not appropriate, the risk assessment and determination of suitable protective measures is the responsibility of the manufacturer of the machine. This document applies to all THCDs, independent of the energy used, including: - THCDs which are fully assembled for installation; - THCDs which are assembled by the machine manufacturer or integrator. This document is not applicable to THCDs manufactured before the date of its publication.

Sécurité des machines — Dispositifs de commande bimanuelle — Principes de conception et de choix

Le présent document spécifie les spécifications de sécurité d'un dispositif de commande bimanuelle et l'interdépendance du signal de sortie et de l'actionnement manuel des organes de service. Le présent document décrit les principales caractéristiques des dispositifs de commande bimanuelle permettant d'assurer la sécurité, et établit des combinaisons de caractéristiques fonctionnelles pour trois types. Il ne s'applique pas aux dispositifs destinés à être utilisés comme dispositifs de validation, comme dispositifs de commande nécessitant une action maintenue, ou comme dispositifs de commande spéciaux. Le présent document ne spécifie pas avec quelles machines les dispositifs de commande bimanuelle doivent être utilisés. Il ne spécifie pas non plus quels types de dispositifs de commande bimanuelle doivent être utilisés pour une application spécifique. Enfin, il ne spécifie pas la distance entre le dispositif de commande bimanuelle et la zone dangereuse (voir 8.8). Le présent document fournit des exigences sur la conception et des conseils sur le choix (basés sur l'appréciation du risque) de dispositifs de commande bimanuelle y compris la vérification de conformité, et la prévention de la fraude et des défauts. NOTE 1 Un dispositif de commande bimanuelle n'offre de protection qu'à son utilisateur. NOTE 2 La pertinence de l'utilisation d'un dispositif de commande bimanuelle comme dispositif de protection pour les machines spécifiques peut être définie dans une norme de type C. Si une telle norme n'existe pas ou n'est pas adaptée, l'appréciation du risque et la détermination de mesures de protection adéquates relève de la responsabilité du fabricant de la machine. Le présent document s'applique à tous les dispositifs de commande bimanuelle, indépendamment de l'énergie utilisée, y compris: — les dispositifs de commande bimanuelle entièrement assemblés pour installation; — les dispositifs de commande bimanuelle assemblés par le fabricant de machine ou l'intégrateur. Le présent document n'est pas applicable aux dispositifs de commande bimanuelle fabriqués avant la date de sa publication.

General Information

• Status: Published
• Publication Date: 18-Mar-2019
• ICS: 13.110 - Safety of machinery
• Technical Committee: ISO/TC 199 - Safety of machinery
• Drafting Committee: ISO/TC 199/WG 8 - Safe Control Systems
• Current Stage: 9093 - International Standard confirmed
• Start Date: 06-Sep-2024
• Completion Date: 13-Dec-2025

Relations

• Consolidates: ISO 18400-201:2017 - Soil quality - Sampling - Part 201: Physical pretreatment in the field
• Effective Date: 06-Jun-2022
• Revises: ISO 13851:2002 - Safety of machinery - Two-hand control devices - Functional aspects and design principles
• Effective Date: 05-Dec-2015

Overview

ISO 13851:2019 - "Safety of machinery - Two-hand control devices - Principles for design and selection" specifies safety principles for two‑hand control devices (THCDs). It defines the functional and design requirements that ensure a THCD reliably depends on simultaneous hand actuation to generate an output signal, addresses prevention of accidental operation and defeat, and gives guidance for selection based on a risk assessment. The standard applies to all THCDs regardless of energy type, whether supplied fully assembled or assembled by a machine manufacturer, and supersedes the 2002 edition.

Key topics and requirements

• Definition and scope: What constitutes a THCD and what is outside scope (not enabling devices, hold‑to‑run, special control devices; not applicable to pre‑2019 THCDs).
• Design requirements: Principles for simultaneous two‑hand actuation, relationship between hand actuation and output signals, cessation and re‑initiation of outputs, and synchronous actuation.
• Prevention of defeat and accidental actuation: Measures to stop defeat by using one hand, forearms, elbows or other body parts; requirements to avoid blocking and unintended activation.
• Safety functions: Prevention of unexpected start‑up, releasing actuators, and ensuring synchronous actuation.
• Ergonomics and environmental considerations: Human factors, operating conditions, enclosures and selection of control actuating devices.
• Verification and validation: Visual inspection, performance tests, measurements and specific tests for prevention of defeat (Annex A is normative).
• Marking and documentation: Requirements for marking and for providing installation, operating and maintenance instructions.
• Limitations: The standard gives guidance but does not prescribe required safety distance to danger zones nor which THCD type must be used for a specific machine - selection should follow a risk assessment.

Practical applications and users

• Who uses it: Machine manufacturers, integrators, safety engineers, health & safety regulators, maintenance/service providers, and standards authors preparing type‑C machine standards.
• Where applied: Machines where operator protection requires two‑hand control to prevent access to hazardous zones - stamping presses, cutting or forming equipment, test rigs, and other applications where holding controls with both hands reduces reach‑in risk.
• Why use it: To select and design THCDs that meet internationally accepted safety principles, reduce operator injury risk, ensure compliance with safety‑related control system requirements (linked to ISO 13849‑1 PL or IEC 62061 SIL), and support conformity assessment and documentation.

Related standards

• ISO 12100 (risk assessment and risk reduction)
• ISO 13849‑1 and ISO 13849‑2 (safety‑related parts of control systems)
• IEC 62061 (functional safety of electrical/electronic control systems)
• ISO 13855 (positioning of safeguards)

Keywords: ISO 13851:2019, two‑hand control device, THCD, safety of machinery, design and selection, prevention of defeat, risk assessment, verification and validation.

Standards Content (Sample)

INTERNATIONAL ISO
STANDARD 13851
Second edition
2019-03
Safety of machinery — Two-hand
control devices — Principles for
design and selection
Sécurité des machines — Dispositifs de commande bimanuelle —
Principes de conception et de choix
Reference number
©
ISO 2019
© ISO 2019
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: [phone]
Fax: [phone]
Email: [e-mail]
Website: www.iso.org
Published in Switzerland
ii © ISO 2019 – All rights reserved

Contents Page
Foreword .v
Introduction .vi
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 THCD selection and THCD types. 3
4.1 Selection. 3
4.2 Types of THCD . 4
5 Requirements for the design of two-hand control devices . 4
5.1 General . 4
5.2 Use of both hands (simultaneous actuation) . 4
5.3 Relationship between actuation by hand and output signal(s) . 4
5.4 Cessation of the output signal . 5
5.5 Prevention of accidental operation . 5
5.6 Prevention of defeat . 5
5.7 Re-initiation of the output signal . 5
5.8 Synchronous actuation . 5
6 Two hand control safety functions . 6
6.1 Prevention of unexpected start-up . 6
6.2 Releasing of actuators . 6
6.3 Synchronous actuation . 6
7 Prevention of accidental actuation and of defeat . 6
7.1 Common considerations . 6
7.2 Prevention of defeat using one hand . 7
7.3 Prevention of defeat using the hand and elbow of the same arm . 7
7.4 Prevention of defeat using the forearm(s) or elbow(s) . 7
7.5 Prevention of defeat using one hand and any other part of the body . 7
7.6 Measures to prevent blocking of control actuating device(s) . 8
7.7 Accidental actuation . 8
8 General requirements . 8
8.1 Ergonomic requirements . 8
8.2 Operating conditions and environmental influences . 8
8.3 Enclosures . 9
8.4 Selection, design and installation of control actuating devices . 9
8.5 Prevention of unintended output signals by acceleration forces . 9
8.6 Unintended operation of hand-held machines . 9
8.7 Relocatable THCDs .10
8.8 Safety distance.10
9 Verification and validation .11
9.1 General requirements for verification and validation.11
9.2 Visual inspection .12
9.3 Performance test .12
9.4 Measurement .12
9.5 Prevention of defeat .12
10 Marking .12
11 Information for installation, use and maintenance .13
11.1 Information for use .13
11.2 Installation instructions .13
11.3 Operating instructions .14
11.4 Maintenance instructions .14
Annex A (normative) Measurement test for the prevention of defeat .15
Bibliography .21
iv © ISO 2019 – All rights reserved

Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and non-governmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of
any patent rights identified during the development of the document will be in the Introduction and/or
on the ISO list of patent declarations received (see www .iso .org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see www .iso
.org/iso/foreword .html.
This document was prepared by Technical Committee ISO/TC 199, Safety of machinery.
This second edition cancels and replaces the first edition (ISO 13851:2002), which has been technically
revised.
The main change compared to the previous edition is the adaptation of the safety-related parts of the
control system from the categories to the Performance Level (PL) (according to ISO 13849-1) or SIL
with the allocated HTF (according to IEC 62061).
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www .iso .org/members .html.
Introduction
The structure of safety standards in the field of machinery is as follows:
a) type-A standards (basic safety standards) giving basic concepts, principles for design and general
aspects that can be applied to all machinery;
b) type-B standards (generic safety standards) dealing with one safety aspect or one or more type(s)
of safeguard that can be used across a wide range of machinery:
— type-B1 standards on particular safety aspects (e.g. safety distances, surface temperature, noise);
— type-B2 standards on safeguards (e.g. two-hand controls, interlocking devices, pressure
sensitive devices, guards);
c) type-C standards (machine safety standards) dealing with detailed safety requirements for a
particular machine or group of machines.
This document is a type-B2 standard as stated in ISO 12100.
This document is of relevance, in particular, for the following stakeholder groups representing the
market players with regard to machinery safety:
— machine manufacturers (small, medium and large enterprises);
— health and safety bodies (regulators, accident prevention organizations, market surveillance etc.).
Others can be affected by the level of machinery safety achieved with the means of the document by the
above-mentioned stakeholder groups:
— machine users/employers (small, medium and large enterprises);
— machine users/employees (e.g. trade unions, organizations for people with special needs);
— service providers, e.g. for maintenance (small, medium and large enterprises);
— consumers (in case of machinery intended for use by consumers).
The above-mentioned stakeholder groups have been given the possibility to participate at the drafting
process of this document.
In addition, this document is intended for standardization bodies elaborating type-C standards.
The requirements of this document can be supplemented or modified by a type-C standard.
For machines that are covered by the scope of a type-C standard and have been designed and built
according to the requirements of that standard, the requirements of that type-C standard take
precedence.
A two-hand control device (THCD) is a protective device. It provides protection for the operator against
reaching danger zones during hazardous situations by locating the control actuating devices in a
specific position and distance from the danger zone(s).
The selection of a THCD as an appropriate safety device depends upon the risk assessment made by
designers, standard makers and others in accordance with ISO 12100.
The definition of a THCD is given in 3.1 and takes precedence over the definition given in ISO 12100.
In some arrangements, enabling devices (see ISO 12100) and/or hold-to-run devices (see ISO 12100)
may comply with the definition of a THCD in this document. Additionally, some special control devices
— such as some crane controls — require the use of two hands and can comply with the definition of a
THCD in this document.
vi © ISO 2019 – All rights reserved

INTERNATIONAL STANDARD ISO 13851:2019(E)
Safety of machinery — Two-hand control devices —
Principles for design and selection
1 Scope
This document specifies the safety requirements of a two-hand control device (THCD) and the
dependency of the output signal from the actuation by hand of the control actuating devices.
This document describes the main characteristics of THCDs for the achievement of safety and sets out
combinations of functional characteristics for three types. It does not apply to devices intended to be
used as enabling devices, as hold-to-run devices or as special control devices.
This document does not specify with which machines THCDs shall be used. It also does not specify which
types of two-hand-control device shall be used for a specific application. Moreover, while guidance is
given, it does not specify the required distance between the THCD and the danger zone (see 8.8).
This document provides requirements for design and guidance on the selection (based on a risk
assessment) of THCDs including the prevention of defeat, the avoidance of faults and verification of
compliance.
NOTE 1 A THCD only offers protection for the person using it.
NOTE 2 For specific machines, the suitability of a two-hand control as a suitable protective device can be
defined in a type-C standard. If such a standard does not exist or is not appropriate, the risk assessment and
determination of suitable protective measures is the responsibility of the manufacturer of the machine.
This document applies to all THCDs, independent of the energy used, including:
— THCDs which are fully assembled for installation;
— THCDs which are assembled by the machine manufacturer or integrator.
This document is not applicable to THCDs manufactured before the date of its publication.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content
constitutes requirements of this document. For dated references, only the edition cited applies. For
undated references, the latest edition of the referenced document (including any amendments) applies.
ISO 12100:2010, Safety of machinery — General principles for design — Risk assessment and risk reduction
ISO 13849-1:2015, Safety of machinery — Safety-related parts of control systems — Part 1: General
principles for design
ISO 13849-2:2012, Safety of machinery — Safety-related parts of control systems — Part 2: Validation
ISO 13855:2010, Safety of machinery — Positioning of safeguards with respect to the approach speeds of
parts of the human body
IEC 62061:2005+AMD1: 2012+AMD2: 2015, Safety of machinery — Functional safety of safety-related
electrical, electronic and programmable electronic control systems
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO 12100 and the following apply.
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https: //www .iso .org/obp
— IEC Electropedia: available at http: //www .electropedia .org/
3.1
two-hand control device
THCD
device which requires simultaneous actuation by the use of both hands in order to initiate and to
maintain hazardous machine functions, thus providing protective measure only for the person who
actuates it
Note 1 to entry: See Figure 1.
Key
1 actuation by hands 5 signal processor(s)
2 THCD 6 output signal(s)
3 control actuating devices (actuators) 7 logic unit
4 signal converter(s)
Figure 1 — Schematic representation of a THCD
Note 2 to entry: Inclusion of Figure 1 is a modification of ISO 12100:2010, 3.28.4.
3.2
input signal
externally actuated signal applied by hand to a control actuating device (3.3)
Note 1 to entry: See Figure 1.
3.3
control actuating device
actuator
component of the THCD (3.1) which senses an input signal (3.2) from one hand and transmits it to a
signal converter (3.6)
Note 1 to entry: See Figure 1.
2 © ISO 2019 – All rights reserved

3.4
simultaneous actuation
continuing actuation of both control actuating devices (3.3) during the same time period, whatever the
time lag is between the start of one input signal (3.2) and the start of the other
Note 1 to entry: See Figure 2.
3.5
synchronous actuation
particular case of simultaneous actuation (3.4) within a defined time period
Note 1 to entry: See also 5.8.
3.6
signal converter
component of the THCD (3.1) which receives an input signal (3.2) from a control actuating device (3.3)
and which transmits and/or converts this signal into a form acceptable to the signal processor (3.7)
Note 1 to entry: See Figure 1.
3.7
signal processor
part of the THCD (3.1) which generates the output signal (3.8) as a consequence of the actuation by hands
Note 1 to entry: See Figure 1.
3.8
output signal
signal generated by the THCD (3.1) intended to be processed by a control system
Note 1 to entry: See Figure 1.
3.9
response time
time between the release of a control actuating device (3.3) and the cessation of the output signal (3.8)
Note 1 to entry: See also 8.8.
3.10
relocatable THCD
device which can be moved and used in more than one definable position relative to the danger zone of
the machine with which it is interfaced
4 THCD selection and THCD types
4.1 Selection
The selection of a THCD as a protective device depends upon the risk assessment (e.g. made by machine
manufacturer and integrators, designers and standards requirements).
The selection and the design of the type (see Table 1) of the THCD depend on
— the hazard(s) present;
— the risk assessment in accordance with ISO 12100;
— experience in use of the technology;
— other factors, which shall be specified for each application [e.g. the prevention of accidental actuation
and of defeat (see Clause 7), as well as other conditions (see ISO 12100:2010, 5.5.3)].
NOTE 1 Guidance on risk assessment is given in ISO 12100 and detailed examples can be found in ISO/
TR 14121-2.
NOTE 2 Additional information for the selection of the THCD can be found in relevant type C-standards.
4.2 Types of THCD
Table 1 defines three types of the THCD. It sets out the functional characteristics and the minimum
measures for the safety of each type of the THCD in this document.
Table 1 — List of types of the THCD and minimum safety requirements
Type
Requirements Subclause III
a
I II
A B C
Use of both hands (simultaneous actuation) 5.2 X X X X X
Relationship between input signals and output signal 5.3 X X X X X
Cessation of the output signal 5.4 X X X X X
Prevention of accidental operation 5.5 X X X X X
Prevention of defeat 5.6 X X X X X
Re-initiation of the output signal 5.7 X X X X
Synchronous actuation 5.8 X X X
At least PL c (according to ISO 13849-1) or SIL 1 (according to X X
IEC 62061)
At least PL d with category 3 (according to ISO 13849-1) or SIL 2  X X
with HFT=1 (according to IEC 62061)
Use of PL e with category 4 (according to ISO 13849-1) or SIL 3   X
with HFT=1 (according to IEC 62061)
a
Whenever the selection of a type I THCD is being considered, it is important to carry out the risk assessment carefully
to determine whether the characteristics of synchronous operation and of re-initiation can be neglected.
5 Requirements for the design of two-hand control devices
5.1 General
The characteristics described in 5.2 to 5.8 shall be included in THCDs in accordance with Table 1. The
objective is to ensure that the operator's hands or, when appropriate, body are located safely and to
prevent an unexpected start-up.
The safety functions and their requirements, e.g. "synchronous actuation", shall be carried out under all
environmental conditions stated by the manufacturer.
5.2 Use of both hands (simultaneous actuation)
The THCD shall be designed and integrated so that the operator must use both hands simultaneously,
one hand on each control actuating device, to operate the machine. This is simultaneous actuation
independent of any time lag between the initiations of each of the two input signals (see Figure 2).
NOTE Requirements for synchronous actuation define the permitted time lag between the initiations of
each of the two input signals.
5.3 Relationship between actuation by hand and output signal(s)
The actuation by hand applied to each of the control actuating devices shall together initiate and
maintain the output signal(s) from the THCD as long as they remain actuated. The form of the output
4 © ISO 2019 – All rights reserved

signal(s) [e.g. number of channels, pulse(s), shape(s), source(s) of energy etc.] may vary depending on
the design requirements in each case.
5.4 Cessation of the output signal
The release of either one or both control actuating devices shall initiate the cessation of the output signal.
5.5 Prevention of accidental operation
The probability of operating the control actuating devices accidentally shall be minimized (see
Clauses 7 and 8).
5.6 Prevention of defeat
The protective effect of the THCD shall not be easily defeated (see Clauses 7 and 8).
5.7 Re-initiation of the output signal
The re-initiation of the output signal shall only be possible after the release of both control actuating
devices (see 6.2).
5.8 Synchronous actuation
5.8.1 For type III the control actuating devices shall be actuated with a tolerance on the simultaneity
of actuation less than or equal to 0,5 s between the actuation of one control actuating device and the
actuation of the second control actuating device. This is considered to be synchronous operation. See
Figure 2.
For ergonomic requirements, see also 8.1.
Key
1 first hand 5 cessation of input signals
2 second hand 6 time lag ≤0,5 s, synchronous actuation
3 initiation of the first input signal 7 time period of simultaneous actuation
4 initiation of the second input signal
Figure 2 — Input signals in the case of synchronous actuation
5.8.2 If the control actuating devices type III are not actuated synchronously, the output signal shall be
prevented and it shall be necessary to release both control actuating devices and to re-apply both input
signals.
NOTE When two or more THCDs are used to operate one machine, synchronous actuation is required only
within each THCD and is not required between THCDs.
6 Two hand control safety functions
6.1 Prevention of unexpected start-up
The output signal from the THCD shall only become “active” (allowing a start of a hazardous movement
in the interfaced machine) while both control actuating devices of the THCD are actuated and remain
actuated. To prevent an unexpected start-up, this safety function shall comply with the category and PL
or SIL indicated in Table 1 for the type of the THCD.
6.2 Releasing of actuators
A subsequent output signal from the THCD shall not be possible unless t
...

NORME ISO
INTERNATIONALE 13851
Deuxième édition
2019-03
Sécurité des machines — Dispositifs
de commande bimanuelle — Principes
de conception et de choix
Safety of machinery — Two-hand control devices — Principles for
design and selection
Numéro de référence
©
ISO 2019
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO 2019
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: [phone]
Fax: [phone]
E-mail: [e-mail]
Web: www.iso.org
Publié en Suisse
ii © ISO 2019 – Tous droits réservés

Sommaire Page
Avant-propos .v
Introduction .vi
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes et définitions . 2
4 Choix et types de dispositifs de commande bimanuelle . 3
4.1 Choix . 3
4.2 Types de dispositifs de commande bimanuelle . 4
5 Exigences pour la conception des dispositifs de commande bimanuelle .4
5.1 Généralités . 4
5.2 Usage des deux mains (manœuvre simultanée) . 5
5.3 Relation entre actionnement manuel et signal de sortie . 5
5.4 Interruption du signal de sortie . 5
5.5 Prévention d’une manœuvre accidentelle . 5
5.6 Prévention de la fraude. 5
5.7 Réinitialisation du signal de sortie . 5
5.8 Manœuvre synchrone . 5
6 Fonctions de sécurité du dispositif de commande bimanuelle . 6
6.1 Prévention des démarrages intempestifs . 6
6.2 Déblocage des actionneurs . 6
6.3 Manœuvre synchrone . 6
7 Prévention de la manœuvre accidentelle et de la fraude . 7
7.1 Considérations communes . 7
7.2 Prévention de la fraude avec une seule main . 7
7.3 Prévention de la fraude avec une main et le coude du même bras . 7
7.4 Prévention de la fraude avec un ou des avant-bras ou un ou des coude(s) . 8
7.5 Prévention de la fraude avec une main et toute autre partie du corps . 8
7.6 Mesures pour empêcher le blocage d'un organe de service . 8
7.7 Manœuvre accidentelle . 8
8 Exigences générales . 9
8.1 Exigences ergonomiques . 9
8.2 Conditions de fonctionnement, influences de l'environnement . 9
8.3 Boîtiers . 9
8.4 Choix, conception et installation des organes de service .10
8.5 Prévention de la génération de signaux de sortie intempestifs sous l’effet de forces
d'accélération .10
8.6 Mise en marche intempestive des machines tenues à la main .10
8.7 Dispositifs de commande bimanuelle délocalisables .10
8.8 Distance de sécurité.11
9 Vérification et validation .12
9.1 Exigences générales pour la vérification et la validation .12
9.2 Examen visuel .13
9.3 Essai de performances .13
9.4 Mesure .13
9.5 Protection contre la fraude .13
10 Marquage .13
11 Information pour l'installation, l'utilisation et la maintenance .14
11.1 Information pour l’utilisation .14
11.2 Instructions d'installation .14
11.3 Instructions pour l'utilisation .15
11.4 Instructions de maintenance .15
Annexe A (normative) Méthodes d'essai relative à la prévention de la fraude .16
Bibliographie .22
iv © ISO 2019 – Tous droits réservés

Avant-propos
L'ISO (Organisation internationale de normalisation) est une fédération mondiale d'organismes
nationaux de normalisation (comités membres de l'ISO). L'élaboration des Normes internationales est
en général confiée aux comités techniques de l'ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l'ISO participent également aux travaux.
L'ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir www
.iso .org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant
les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations de
brevets reçues par l'ISO (voir www .iso .org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir le lien suivant: www .iso .org/iso/fr/avant -propos.
Le présent document a été élaboré par le comité technique ISO/TC 199, Sécurité des machines.
Cette deuxième édition annule et remplace la première édition (ISO 13851:2002) qui a fait l’objet d’une
révision technique.
La principale modification par rapport à l’édition précédente est l'adaptation des parties du système de
commande relatives à la sécurité aux catégories du niveau de performance (PL) (selon l’ISO 13849-1) ou
au SIL avec le HFT assigné (selon l’IEC 62061).
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l’adresse www .iso .org/fr/membes .html.
Introduction
La structure des normes de sécurité dans le domaine des machines est la suivante:
a) normes de type A (normes fondamentales de sécurité), donnant des notions fondamentales, des
principes de conception, et des aspects généraux qui peuvent être appliqués à toutes les machines;
b) normes de type B (normes génériques de sécurité), traitant d'un aspect de la sécurité ou d'un
moyen de protection valable pour une large gamme de machines:
— normes de type B1, traitant d'aspects particuliers de la sécurité (par exemple, distances de
sécurité, température superficielle, bruit);
— normes de type B2, traitant de moyens de protection (par exemple, commandes bimanuelles,
dispositifs de verrouillage, dispositifs sensibles à la pression, protecteurs);
c) normes de type C (normes de sécurité par catégorie de machines), traitant des exigences de
sécurité détaillées s'appliquant à une machine particulière ou à un groupe de machines particulier.
Le présent document est une norme de type B2 comme stipulé dans l'ISO 12100.
Le présent document concerne, en particulier, les groupes de parties prenantes suivants, représentant
les acteurs du marché dans le domaine de la sécurité des machines:
— fabricants de machines (petites, moyennes et grandes entreprises);
— organismes de santé et de sécurité (autorités réglementaires, organismes de prévention des risques
professionnels, surveillance du marché, etc.);
D'autres groupes peuvent être affectés par le niveau de sécurité des machines atteint avec les moyens
du document par les groupes de parties prenantes susmentionnés:
— utilisateurs de machines/employeurs (petites, moyennes et grandes entreprises);
— utilisateurs de machines/salariés (par exemple syndicats de salariés, organisations représentant
des personnes ayant des besoins particuliers);
— prestataires de services, par exemple sociétés de maintenance (petites, moyennes et grandes
entreprises);
— consommateurs (dans le cas de machines destinées à être utilisées par des consommateurs).
Les groupes de parties prenantes mentionnés ci-dessus ont eu la possibilité de participer au processus
d’élaboration du présent document.
De plus, le présent document est destiné aux organismes de normalisation élaborant des normes de type C.
Les exigences du présent document peuvent être complétées ou modifiées par une norme de type C.
Pour les machines qui sont couvertes par le domaine d'application d'une norme de type C et qui ont été
conçues et construites selon les exigences de cette norme, alors les exigences de cette norme de type C
prennent le pas sur les autres.
Un dispositif de commande bimanuelle est un dispositif de protection (composant de sécurité). Il
constitue une protection pour l'opérateur contre l'atteinte des zones dangereuses, durant des situations
dangereuses, en plaçant les organes de service dans une position particulière et à une distance
spécifique de la (des) zone(s) dangereuse(s).
Le choix d'un dispositif de commande bimanuelle comme dispositif de protection approprié dépend
de l'appréciation du risque effectuée par les concepteurs, les normalisateurs et d'autres personnes,
conformément à l’ISO 12100.
vi © ISO 2019 – Tous droits réservés

La définition d'un dispositif de commande bimanuelle est donnée en 3.1 et prend le pas sur la définition
donnée dans l’ISO 12100.
Dans certaines installations, des dispositifs de validation (voir l’ISO 12100) et/ou des dispositifs
de commande nécessitant une action maintenue (voir l’ISO 12100) peuvent répondre à la définition
d'un dispositif de commande bimanuelle selon le présent document. De plus, certains dispositifs de
commande spéciaux — tels que certaines commandes de grues — exigent l'usage des deux mains et
peuvent répondre à la définition d'un dispositif de commande bimanuelle selon le présent document.
NORME INTERNATIONALE ISO 13851:2019(F)
Sécurité des machines — Dispositifs de commande
bimanuelle — Principes de conception et de choix
1 Domaine d'application
Le présent document spécifie les spécifications de sécurité d'un dispositif de commande bimanuelle et
l’interdépendance du signal de sortie et de l’actionnement manuel des organes de service.
Le présent document décrit les principales caractéristiques des dispositifs de commande bimanuelle
permettant d’assurer la sécurité, et établit des combinaisons de caractéristiques fonctionnelles pour
trois types. Il ne s'applique pas aux dispositifs destinés à être utilisés comme dispositifs de validation,
comme dispositifs de commande nécessitant une action maintenue, ou comme dispositifs de commande
spéciaux.
Le présent document ne spécifie pas avec quelles machines les dispositifs de commande bimanuelle
doivent être utilisés. Il ne spécifie pas non plus quels types de dispositifs de commande bimanuelle
doivent être utilisés pour une application spécifique. Enfin, il ne spécifie pas la distance entre le
dispositif de commande bimanuelle et la zone dangereuse (voir 8.8).
Le présent document fournit des exigences sur la conception et des conseils sur le choix (basés sur
l'appréciation du risque) de dispositifs de commande bimanuelle y compris la vérification de conformité,
et la prévention de la fraude et des défauts.
NOTE 1 Un dispositif de commande bimanuelle n’offre de protection qu’à son utilisateur.
NOTE 2 La pertinence de l’utilisation d’un dispositif de commande bimanuelle comme dispositif de protection
pour les machines spécifiques peut être définie dans une norme de type C. Si une telle norme n’existe pas ou
n’est pas adaptée, l’appréciation du risque et la détermination de mesures de protection adéquates relève de la
responsabilité du fabricant de la machine.
Le présent document s'applique à tous les dispositifs de commande bimanuelle, indépendamment de
l'énergie utilisée, y compris:
— les dispositifs de commande bimanuelle entièrement assemblés pour installation;
— les dispositifs de commande bimanuelle assemblés par le fabricant de machine ou l’intégrateur.
Le présent document n’est pas applicable aux dispositifs de commande bimanuelle fabriqués avant la
date de sa publication.
2 Références normatives
Les documents suivants cités dans le texte constituent, pour tout ou partie de leur contenu, des
exigences du présent document. Pour les références datées, seule l’édition citée s’applique. Pour les
références non datées, la dernière édition du document de référence s’applique (y compris les éventuels
amendements).
ISO 12100:2010, Sécurité des machines — Principes généraux de conception — Appréciation du risque et
réduction du risque
ISO 13849-1:2015, Sécurité des machines — Parties des systèmes de commande relatives à la sécurité —
Partie 1: Principes généraux de conception
ISO 13849-2:2012, Sécurité des machines — Parties des systèmes de commande relatives à la sécurité —
Partie 2: Validation
ISO 13855:2010, Sécurité des machines — Positionnement des moyens de protection par rapport à la
vitesse d'approche des parties du corps
I EC 62061:20 05+A M D1: 2012+A M D2: 2015, Sécurité des machines — Sécurité fonctionnelle des systèmes
de commande électriques, électroniques et électroniques programmables relatifs à la sécurité
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions de l’ISO 12100 ainsi que les suivants
s’appliquent.
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https: //www .iso .org/obp
— IEC Electropedia: disponible à l’adresse http: //www .electropedia .org/
3.1
dispositif de commande bimanuelle
THCD
dispositif qui exige une manœuvre simultanée à l'aide des deux mains pour déclencher et maintenir
tout fonctionnement dangereux d'une machine, constituant ainsi une mesure de protection seulement
pour la personne qui actionne le dispositif
Note 1 à l'article: Voir Figure 1.
Légende
1 actionnement manuel 5 générateur(s) de signal
2 dispositif de commande bimanuelle 6 signal (signaux) de sortie
3 organe de service (actionneurs) 7 bloc logique
4 convertisseur(s) de signal
Figure 1 — Représentation schématique d'un dispositif de commande bimanuelle
Note 2 à l'article: L’intégration de la Figure 1 correspond à une modification de l’ISO 12100:2010, 3.28.4.
3.2
signal d’entrée
signal extérieur appliqué manuellement sur un organe de service (3.3)
Note 1 à l'article: Voir Figure 1.
2 © ISO 2019 – Tous droits réservés

3.3
organe de service
actionneur(s)
élément du dispositif de commande bimanuelle (3.1) qui détecte un signal d'entrée (3.2) émis par une
main et le transmet à un convertisseur de signal (3.6)
Note 1 à l'article: Voir Figure 1.
3.4
manœuvre simultanée
actionnement continue des différents organes de service (3.3) pendant la même période de temps, quel
que soit le délai entre l’initiation d’un des signaux d’entrée (3.2) et l’initiation du deuxième
Note 1 à l'article: Voir Figure 2.
3.5
manœuvre synchrone
cas particulier de manœuvre simultanée (3.4) se déroulant pendant une période définie
Note 1 à l'article: Voir également 5.8.
3.6
convertisseur de signal
élément du dispositif de commande bimanuelle (3.1) qui reçoit un signal d'entrée (3.2) d'un organe de
service (3.3) et transmet et/ou adapte ce signal sous une forme recevable par le générateur de signal (3.7)
Note 1 à l'article: Voir Figure 1.
3.7
générateur de signal
partie du dispositif de commande bimanuelle (3.1) qui génère le signal de sortie (3.8) résultant des deux
signaux d'entrée
Note 1 à l'article: Voir Figure 1.
3.8
signal de sortie
signal engendré par le dispositif de commande bimanuelle (3.1) pour être envoyé vers la machine à
commander et qui est basé sur une seule paire de signaux d'entrée
Note 1 à l'article: Voir Figure 1.
3.9
temps de réponse
intervalle de temps entre le relâchement d'un organe de service (3.3) et l'interruption du signal de
sortie (3.8)
Note 1 à l'article: Voir également 8.8.
3.10
dispositif de commande bimanuelle délocalisable
dispositif qui peut être déplacé et utilisé en plus d'un endroit susceptible d'être défini par rapport à la
zone dangereuse de la machine avec laquelle il est en interface
4 Choix et types de dispositifs de commande bimanuelle
4.1 Choix
Le choix d’un dispositif de commande bimanuelle comme dispositif de protection dépend de
l’appréciation du risque (par exemple, réalisée par le fabricant de machine, les intégrateurs et les
concepteurs en fonction des exigences des normes).
Le choix et la conception d'un type (voir Tableau 1) de dispositif de commande bimanuelle dépend
— du (des) risque(s) présent(s);
— de l'appréciation du risque conformément à l’ISO 12100;
— de l'expérience dans l'usage de la technologie;
— d'autres facteurs qui doivent être spécifiés pour chaque application [par exemple, la prévention
d’une manœuvre accidentelle et de la fraude (voir Article 7), ainsi que d'autres conditions (voir
l’ISO 12100:2010, 5.5.3)].
NOTE 1 Des indications sur l'appréciation du risque sont données dans l’ISO 12100 et des exemples détaillés
peuvent être trouvés dans l’ISO/TR 14121-2.
NOTE 2 Des informations complémentaires pour le choix du dispositif de commande bimanuelle peuvent être
trouvées dans les normes de type C pertinentes.
4.2 Types de dispositifs de commande bimanuelle
Le Tableau 1 définit trois types de dispositifs de commande bimanuelle. Il établit les caractéristiques
fonctionnelles et les mesures minimales pour la sécurité de chacun des types de dispositifs de
commande bimanuelle prévus par le présent document.
Tableau 1 — Liste des types de dispositifs de commande bimanuelle et des exigences minimales
de sécurité
Type
Exigences Paragraphe III
a
I II
A B C
Usage des deux mains (manœuvre simultanée) 5.2 X X X X X
Relation entre signaux d'entrée et signaux de sortie 5.3 X X X X X
Interruption du signal de sortie 5.4 X X X X X
Prévention d'une manœuvre accidentelle 5.5 X X X X X
Prévention de la fraude 5.6 X X X X X
Réinitialisation du signal de sortie 5.7 X X X X
Manœuvre synchrone 5.8 X X X
Au minimum PL c (conformément à l’ISO 13849-1) ou SIL 1 X X
(conformément à l’IEC 62061)
Au minimum PL d avec la catégorie 3 (conformément à  X X
l’ISO 13849-1) ou SIL 2 avec HFT = 1 (conformément à
l’IEC 62061)
Utilisation de PL e avec la catégorie 4 (conformément à   X
l’ISO 13849-1) ou SIL 3 avec HFT = 1 (conformément à
l’IEC 62061)
a
Chaque fois que l’on envisage le choix d'un dispositif de commande bimanuelle de type I, il est important de réaliser
soigneusement l'appréciation du risque afin de déterminer si les caractéristiques de manœuvre synchrone et de
réinitialisation du signal de sortie peuvent être négligées.
5 Exigences pour la conception des dispositifs de commande bimanuelle
5.1 Généralités
Les caractéristiques décrites du 5.2 au 5.8 doivent être incluses dans les dispositifs de commande
bimanuelle conformément au Tableau 1. L'objectif est de s'assurer que les mains de l'opérateur
4 © ISO 2019 – Tous droits réservés

ou, lorsque cela est pertinent, son corps, sont positionnés de façon sûre et d'éviter un démarrage
intempestif.
Les fonctions de sécurité et leurs exigences, telles que par exemple une « manœuvre synchrone »,
doivent être réalisées dans toutes les conditions environnementales décrites par le fabricant.
5.2 Usage des deux mains (manœuvre simultanée)
Le dispositif de commande bimanuelle doit être conçu et intégré de telle manière que l'opérateur ait à
faire usage de ses deux mains simultanément, une main sur chaque organe de service, pour actionner la
machine. Il s’agit de la manœuvre simultanée, qui est indépendante du délai entre l'initiation de chacun
des deux signaux d'entrée (voir Figure 2).
NOTE Les exigences pour la manœuvre synchrone définit le délai autorisé entre les initiations de chacun des
deux signaux d’entrée.
5.3 Relation entre actionnement manuel et signal de sortie
L’actionnement manuel appliqué à chacun des organes de service doit initier et maintenir le signal de
sortie du dispositif de commande bimanuelle, seulement tant que les organes restent actionnés. Les
caractéristiques du (des) signal (signaux) de sortie [par exemple, nombre(s) de voies, impulsion(s),
forme(s), source(s) d’énergie, etc.] peuvent varier en fonction des exigences de conception dans chaque cas.
5.4 Interruption du signal de sortie
Le relâchement d'un ou des deux organes de service doit initier l'interruption du signal de sortie.
5.5 Prévention d’une manœuvre accidentelle
La probabilité de manœuvre accidentelle des organes de service doit être réduite à un minimum (voir
Articles 7 et 8).
5.6 Prévention de la fraude
La protection offerte par le dispositif de commande bimanuelle ne doit pas être facile à «frauder» (voir
Articles 7 et 8).
5.7 Réinitialisation du signal de sortie
La réinitialisation du signal de sortie ne doit être possible qu'après relâchement des deux organes de
service (voir 6.2).
5.8 Manœuvre synchrone
5.8.1 Pour le type III, les organes de service doivent être actionnés avec une tolérance sur la
simultanéité d'actionnement inférieure ou égale à 0,5 s entre l'actionnement d'un organe de service et
l'actionnement du deuxième organe de service. Cela est considéré comme un fonctionnement synchrone.
Voir Figure 2.
Pour les exigences ergonomiques, voir également 8.1.
Légende
1 première main 5 fin des signaux d’entrée
2 deuxième main 6 délai ≤0,5 s, manœuvre synchrone
3 début du premier signal d’entrée 7 temps de manœuvre simultanée
4 début du deuxième signal d’entrée
Figure 2 — Signaux d'entrée d'une manœuvre synchrone
5.8.2 Si les deux organes de service de type III ne sont pas manœuvrés de façon synchrone, le signal de
sortie ne doit pas être émis et il doit alors être nécessaire de relâcher les deux organes de service et de
réitérer les deux signaux d'entrée.
NOTE Dans le cas où deux ou plusieurs dispositifs de commande bimanuelle seraient utilisés pour faire
fonctionner une machine, la manœuvre synchrone est requise seulement à l'intérieur de chaque dispositif de
commande bimanuelle, mais pas entre ces dispositifs.
6 Fonctions de sécurité du dispositif de commande bimanuelle
6.1 Prévention des démarrages intempestifs
Le signal de sortie du dispositif de commande bimanuelle ne doit devenir "actif" (permettant l’initiation
d’un mouvement dangereux dans la machine interfacée) que si les deux actionneurs du dispositif de
commande bimanuelle sont actionnés et restent activés. Afin d’éviter un démarrage intempestif, cette
fonction de sécurité doit être conforme avec la catégorie et le PL ou SIL indiqués au Tableau 1 pour le
type de THCD en question.
6.2 Déblocage des actionneurs
Pour les THCD de types II et III, un signal de sortie ultérieur du THCD ne doit pas être possible tant
que les actionneurs du dispositif de commande bimanuelle ne sont pas tous les deux débloqués. Cette
fonction de sécurité doit être conforme avec la catégorie et le PL ou SIL indiqués au Tableau 1 pour le
type de THCD en question.
6.3 Manœuvre synchrone
Voir 5.8.
6 © ISO 2019 – Tous droits réservés

7 Prévention de la manœuvre accidentelle et de la fraude
7.1 Considérations communes
Les organes de service d'un dispositif de commande bimanuelle doivent être conçus et disposés de
manière qu'il soit difficile de «frauder» la protection offerte par le dispositif de command
...