ISO 13849-2:2003
(Main)Safety of machinery — Safety-related parts of control systems — Part 2: Validation
Safety of machinery — Safety-related parts of control systems — Part 2: Validation
ISO 13849-2:2003 specifies the procedures and conditions to be followed for the validation by analysis and testing of: the safety functions provided and the category achieved for the safety-related parts of the control system in compliance with EN 954-1 (ISO 13849-1), using the design rationale provided by the designer. This International Standard does not give complete validation requirements for programmable electronic systems and therefore can require the use of other standards.
Sécurité des machines — Parties des systèmes de commande relatifs à la sécurité — Partie 2: Validation
L'ISO 13849-2:2003 spécifie les procédures et conditions à suivre pour la validation par analyse et par essais: des fonctions de sécurité assurées, et de la catégorie atteinte par les parties de système de commande relatives à la sécurité en conformité avec l'EN 954-1 (ISO 13849-1), en utilisant le raisonnement de conception fourni par le concepteur. La présente Norme internationale ne donne pas de prescriptions complètes de validation pour les systèmes électroniques programmables et peut par conséquent nécessiter l'utilisation d'autres normes.
General Information
Relations
Buy Standard
Standards Content (Sample)
INTERNATIONAL ISO
STANDARD 13849-2
First edition
2003-08-15
Safety of machinery — Safety-related
parts of control systems —
Part 2:
Validation
Sécurité des machines — Parties des systèmes de commande relatifs
à la sécurité —
Partie 2: Validation
Reference number
ISO 13849-2:2003(E)
©
ISO 2003
---------------------- Page: 1 ----------------------
ISO 13849-2:2003(E)
PDF disclaimer
This PDF file may contain embedded typefaces. In accordance with Adobe's licensing policy, this file may be printed or viewed but
shall not be edited unless the typefaces which are embedded are licensed to and installed on the computer performing the editing. In
downloading this file, parties accept therein the responsibility of not infringing Adobe's licensing policy. The ISO Central Secretariat
accepts no liability in this area.
Adobe is a trademark of Adobe Systems Incorporated.
Details of the software products used to create this PDF file can be found in the General Info relative to the file; the PDF-creation
parameters were optimized for printing. Every care has been taken to ensure that the file is suitable for use by ISO member bodies. In
the unlikely event that a problem relating to it is found, please inform the Central Secretariat at the address given below.
© ISO 2003
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized in any form or by any means,
electronic or mechanical, including photocopying and microfilm, without permission in writing from either ISO at the address below or
ISO's member body in the country of the requester.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Published in Switzerland
ii © ISO 2003 – All rights reserved
---------------------- Page: 2 ----------------------
ISO 13849-2:2003(E)
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards bodies
(ISO member bodies). The work of preparing International Standards is normally carried out through ISO
technical committees. Each member body interested in a subject for which a technical committee has been
established has the right to be represented on that committee. International organizations, governmental and
non-governmental, in liaison with ISO, also take part in the work. ISO collaborates closely with the
International Electrotechnical Commission (IEC) on all matters of electrotechnical standardization.
International Standards are drafted in accordance with the rules given in the ISO/IEC Directives, Part 2.
The main task of technical committees is to prepare International Standards. Draft International Standards
adopted by the technical committees are circulated to the member bodies for voting. Publication as an
International Standard requires approval by at least 75 % of the member bodies casting a vote.
Attention is drawn to the possibility that some of the elements of this document may be the subject of patent
rights. ISO shall not be held responsible for identifying any or all such patent rights.
ISO 13849-2 was prepared by the European Committee for Standardization (CEN) in collaboration with
Technical Committee ISO/TC 199, Safety of machinery, in accordance with the Agreement on technical
cooperation between ISO and CEN (Vienna Agreement).
Throughout the text of this document, read “.this European Standard.” to mean “.this International
Standard.”.
ISO 13849 consists of the following parts, under the general title Safety of machinery — Safety-related parts
of control systems:
— Part 1: General principles for design
— Part 2: Validation
— Part 100: Guidelines for the use and application of ISO 13849-1
© ISO 2003 – All rights reserved iii
---------------------- Page: 3 ----------------------
ISO 13849-2:2003(E)
Page
Contents
Foreword.v
Introduction .vi
1 Scope .1
2 Normative references .1
3 Validation process .1
3.1 Validation principles.1
3.2 Generic fault lists.3
3.3 Specific fault lists .3
3.4 Validation plan.3
3.5 Information for validation.4
3.6 Validation record.5
4 Validation by analysis .5
4.1 General.5
4.2 Analysis techniques .6
5 Validation by testing.6
5.1 General.6
5.2 Measurement uncertainty .7
5.3 Higher requirements.7
5.4 Number of test samples .7
6 Validation of safety functions.8
7 Validation of categories .8
7.1 Analysis and testing of categories.8
7.2 Validation of category specifications .9
7.3 Validation of combination of safety–related parts .10
8 Validation of environmental requirements.10
9 Validation of maintenance requirements .11
Annex A (informative) Validation tools for mechanical systems .12
Annex B (informative) Validation tools for pneumatic systems .17
Annex C (informative) Validation tools for hydraulic systems .28
Annex D (informative) Validation tools for electrical systems .38
Bibliography .49
iv © ISO 2003 – All rights reserved
---------------------- Page: 4 ----------------------
ISO 13849-2:2003(E)
Foreword
This document EN ISO 13849-2:2003 has been prepared by Technical Committee CEN /TC 114, "Safety of
machinery", the secretariat of which is held by DIN in collaboration with Technical Committee ISO/TC 199 "Safety
of machinery".
This European Standard shall be given the status of a national standard, either by publication of an identical text or
by endorsement, at the latest by February 2004, and conflicting national standards shall be withdrawn at the latest
by February 2004.
This document has been prepared under a mandate given to CEN by the European Commission and the European
Free Trade Association and supports essential requirements of EC Directive(s).
Annexes A to D are informative and structured as given in Table 1.
Table 1 — Structure of the clauses of annexes A to D
Annex Technology List of basic List of well- List of well- Fault lists and
safety tried safety tried fault
principles principles components exclusions
Clause
A Mechanical A.2 A.3 A.4 A.5
B Pneumatic B.2 B.3 B.4 B.5
C Hydraulic C.2 C.3 C.4 C.5
D Electrical (includes electronics) D.2 D.3 D.4 D.5
This document includes a Bibliography.
EN ISO 13849 consists of the following parts, under the general title "Safety of machinery – Safety-related parts of
control systems":
Part 1: General principles for design
Part 2: Validation
Part 100: Guidelines for the use and application of EN ISO 13849-1.
According to the CEN/CENELEC Internal Regulations, the national standards organizations of the following
countries are bound to implement this European Standard: Austria, Belgium, Czech Republic, Denmark, Finland,
France, Germany, Greece, Hungary, Iceland, Ireland, Italy, Luxembourg, Malta, Netherlands, Norway, Portugal,
Slovakia, Spain, Sweden, Switzerland and the United Kingdom.
© ISO 2003 – All rights reserved v
---------------------- Page: 5 ----------------------
ISO 13849-2:2003(E)
Introduction
For the use in the European Union, this part of EN ISO 13849 has the status of a generic safety standard (type B1).
This European Standard specifies the validation process, including both analysis and testing, for the safety
functions and categories for the safety–related parts of control systems. Descriptions of the safety functions and
the requirements for the categories are given in EN 954-1 (ISO 13849-1) which deals with the general principles for
design. Some requirements for validation are general and some are specific to the technology used.
EN ISO 13849-2 also specifies the conditions under which the validation by testing of the safety-related parts of
control systems should be carried out.
EN 954-1 (ISO 13849-1) specifies the safety requirements and gives guidance on the principles for the design [see
EN 292-1:1991 (ISO/TR 12100:1992), 3.11] of the safety-related parts of control systems. For these parts it
specifies categories and describes the characteristics of their safety functions, regardless of the type of energy
used. Additional advice on EN 954-1 (ISO 13894-1) is given in CR 954-100 (ISO/TR 13849-100).
The achievement of the requirements can be validated by any combination of analysis (see clause 4) and testing
(see clause 5). The analysis should be started as early as possible within the design process.
vi © ISO 2003 – All rights reserved
---------------------- Page: 6 ----------------------
ISO 13849-2:2003(E)
1 Scope
This European Standard specifies the procedures and conditions to be followed for the validation by analysis and
testing of:
the safety functions provided, and
the category achieved
of the safety-related parts of the control system in compliance with EN 954-1 (ISO 13849-1), using the design
rationale provided by the designer.
This European Standard does not give complete validation requirements for programmable electronic systems and
therefore can require the use of other standards.
NOTE CEN/TC 114/WG 6 proposes to deal in more detail with the validation of programmable electronic systems in the
elaboration of the revision to EN 954-1 (ISO 13849-1). An application standard for machinery (draft IEC 62061), based on IEC
61508, is under preparation. Requirements for programmable electronic systems, including embedded software, are given in
IEC 61508.
2 Normative references
This European Standard incorporates by dated or undated reference, provisions from other publications. These
normative references are cited at the appropriate places in the text, and the publications are listed hereafter. For
dated references, subsequent amendments to or revisions of any of these publications apply to this European
Standard only when incorporated in it by amendment or revision. For undated references the latest edition of the
publication referred to applies (including amendments).
EN 292-1:1991 (ISO/TR 12100:1992), Safety of machinery — Basic concepts, general principles for design —
Part 1: Basic terminology, methodology.
EN 954-1:1996 (ISO 13849-1:1999), Safety of machinery — Safety-related parts of control systems — Part 1:
General principles for design.
3 Validation process
3.1 Validation principles
The purpose of the validation process is to confirm the specification and the conformity of the design of the safety-
related parts of the control system within the overall safety requirements specification of the machinery.
The validation shall demonstrate that each safety-related part meets the requirements of EN 954-1 (ISO 13849-1),
in particular:
the specified safety characteristics of the safety functions provided by that part, as set out in the design
rationale, and
the requirements of the specified category [see EN 954-1:1996 (ISO 13849-1:1999), clause 6].
Validation should be carried out by persons who are independent of the design of the safety-related part(s).
rd
NOTE Independent person does not necessarily mean that a 3 party test is required.
The degree of independence should reflect the safety performance of the safety-related part.
Validation consists of applying analysis (see clause 4) and, if necessary, executing tests (see clause 5) in
accordance with the validation plan. Figure 1 gives an overview of the validation process. The balance between the
analysis and/or testing depends on the technology.
© ISO 2003 – All rights reserved 1
---------------------- Page: 7 ----------------------
ISO 13849-2:2003(E)
The analysis should be started as early as possible and in parallel with the design process, so that problems can
be corrected early whilst they are still relatively easy to correct, i. e. during steps 3 and 4 of EN 954-1:1996
(ISO 13849-1:1999), 4.3. It can be necessary for some parts of the analysis to be delayed until the design is well
developed.
For large systems, due to the size, complexity or integrated form (with the machinery) of the control system, special
arrangements may be made for:
validation of the safety-related parts of the control system separately before integration including simulation of
the appropriate input and output signals;
validation of the effects of integrating safety-related parts into the remainder of the control system within the
context of its use in the machine.
Figure 1 — Overview of the validation process
2 © ISO 2003 – All rights reserved
---------------------- Page: 8 ----------------------
ISO 13849-2:2003(E)
3.2 Generic fault lists
The validation process involves consideration of behaviour of the safety-related part(s) of the control system for all
faults to be considered. A basis for fault consideration is given in the fault lists in the informative annexes (A.5, B.5,
C.5 and D.5) which are based on experience. The generic fault lists contain:
the components/elements to be included, e. g. conductors/cables (see D.5.2);
the faults to be taken into account, e. g. short circuits between conductors;
the permitted fault exclusions;
a remarks section giving the reasons for the fault exclusions.
Only permanent faults are taken into account.
3.3 Specific fault lists
A specific product-related fault list shall be generated as a reference document for the validation process of the
safety-related part(s). The list can be based on the appropriate generic list(s) found in the annex(es).
Where the specific product-related fault list is based on the generic list(s) it shall state:
the faults taken from the generic list(s) to be included;
any other relevant faults to be included but not given in the generic list (e. g. common mode faults);
the faults taken from the generic list(s) which may be excluded and can meet at least the criteria given in the
generic list(s) [see EN 954-1:1996 (ISO 13849-1:1999), 7.2];
and, exceptionally
any other relevant faults, from the generic list but not permitted for exclusion by the generic list(s), together
with a justification and a rationale for its exclusion [see EN 954-1:1996 (ISO 13849-1:1999), 7.2].
Where this list is not based on the generic list(s) the designer shall give the rationale for fault exclusions.
3.4 Validation plan
The validation plan shall identify and describe the requirements for carrying out the validation process of the
specified safety functions and their categories.
The validation plan shall also identify the means to be employed to validate the specified safety functions and
categories. It shall set out, where appropriate:
a) the identity of the specification documents;
b) the operational and environmental conditions;
c) the basic safety principles (see A.2, B.2, C.2 and D.2);
d) the well-tried safety principles (see A.3, B.3, C.3 and D.3);
e) the well-tried components (see A.4 and D.4);
f) the fault assumptions and fault exclusions to be considered e. g. from the informative fault lists in A.5, B.5, C.5
and D.5;
g) the analyses and tests to be applied.
© ISO 2003 – All rights reserved 3
---------------------- Page: 9 ----------------------
ISO 13849-2:2003(E)
Safety-related parts which have previously been validated to the same specification need only a reference to that
previous validation.
3.5 Information for validation
The information required for validation will vary with the technology used, the category(ies) to be demonstrated, the
design rationale of the system and the contribution of the safety-related parts of control systems to the reduction of
the risk. Documents containing sufficient information from the list below shall be included in the validation process
to demonstrate the category(ies) and the safety function(s) of the safety-related parts which have been achieved:
a) specification(s) of the expected performance, of the safety functions and categories;
b) drawings and specifications, e. g. for mechanical, hydraulic and pneumatic parts, printed circuit boards,
assembled boards, internal wiring, enclosure, materials, mounting;
c) block diagram(s) with functional description of the blocks;
d) circuit diagram(s) including interfaces/connections;
e) functional description of the circuit diagram(s);
f) time sequence diagram(s) for switching components, signals relevant for safety;
g) description of the relevant characteristics of components previously validated;
h) for other safety-related parts (excluding those listed in g)) component lists with item designations, rated values,
tolerances, relevant operating stresses, type designation, failure rate data and component manufacturer and
any other data relevant for safety;
i) analysis of all relevant faults (see also 3.2) listed e. g. in A.5, B.5, C.5 and D.5, including the justification of any
excluded faults;
j) an analysis of the influence of processed materials;
Category specific information in accordance with Table 2. Where software is relevant to the safety function(s), the
software documentation shall include:
1) a specification which is clear and unambiguous and states the safety performance the software is required
to achieve, and
2) evidence that the software is designed to achieve the required safety performance, and
3) details of tests (in particular test reports) carried out to prove that the required safety performance is
achieved.
4 © ISO 2003 – All rights reserved
---------------------- Page: 10 ----------------------
ISO 13849-2:2003(E)
Table 2 — Documentation requirements for categories
Documentation requirement Category for which
documentation is
required
B 1 234
Basic safety principles X X XXX
Expected operating stresses X X XXX
Influences of processed material X X XXX
Performance during other relevant external influences X X XXX
Well–tried components – X –––
Well–tried safety principles – X XXX
The check procedure of the safety function(s) – – X ––
Checking intervals, when specified – – X ––
Foreseeable, single faults considered in the design and the detection method used – – x XX
The common mode failures identified and how prevented – – – XX
The foreseeable, single faults excluded – – – XX
The faults to be detected – – x XX
The variety of accumulations of faults considered in the design – – – – X
How the safety function is maintained in the case of each of the fault(s) – – – XX
How the safety function is maintained for each of the combination(s) of faults – – – – X
NOTE The categories mentioned in Table 2 are those given in EN 954-1 (ISO 13849-1).
3.6 Validation record
Validation by analysis and testing shall be recorded. The record shall demonstrate the validation process of each of
the safety requirements. Cross–reference may be made to previous validation records, provided they are properly
identified.
For any safety–related part which has failed part of the validation process, the validation record shall describe the
part(s) of the validation tests and/or analysis which have been failed.
4 Validation by analysis
4.1 General
The validation of safety–related parts of control systems shall be carried out by analysis. Inputs to the analysis are:
the hazards identified during analysis at the machine [see EN 954-1:1996 (ISO 13849-1:1999), Figure 1];
the reliability [see EN 954-1:1996 (ISO 13849-1:1999), 4.2];
the system structure [see EN 954-1:1996 (ISO 13849-1:1999), 4.2];
the non–quantifiable, qualitative aspects which affect system behaviour [see EN 954-1:1996 (ISO 13849-
1:1999), 4.2];
deterministic arguments.
© ISO 2003 – All rights reserved 5
---------------------- Page: 11 ----------------------
ISO 13849-2:2003(E)
Validation of the safety functions by analysis rather than testing requires the formulation of deterministic
arguments. Deterministic arguments differ from other evidence in that they show that the required properties of the
system follow logically from a model of the system. Such arguments can be constructed on the basis of simple,
well–understood concepts, such as the correctness of a mechanical interlock.
NOTE A deterministic argument is an argument based on qualitative aspects (e. g. quality of manufacture, failure rates,
experience of use). This consideration is depending on the application. This and other factors can affect the deterministic
arguments.
4.2 Analysis techniques
The technique of analysis to be chosen depends upon the goal to be achieved. Two basic types of techniques
exist:
a) Top–down (deductive) techniques are suitable for determining the initiating events that can lead to identified
top events, and calculating the probability of top events from the probability of the initiating events. They can
also be used to investigate the consequences of identified multiple faults. Examples of top–down techniques
are Fault Tree Analysis (FTA – see IEC 61025) and Event Tree Analysis (ETA);
b) Bottom–up (inductive) techniques are suitable for investigating the consequence of identified single faults.
Examples of bottom–up techniques are Failure Modes and Effects Analysis (FMEA – see IEC 60812) and
Failure Modes, Effects and Criticality Analysis (FMECA).
More information on analysis methods is given in EN 1050:1996 (ISO 14121:1999), annex B.
5 Validation by testing
5.1 General
When validation by analysis is not sufficient to demonstrate the achievement of specified safety functions and
categories testing shall be carried out to complete the validation. Testing is always complementary to analysis and
is often necessary.
Validation tests shall be planned and implemented in a logical manner. In particular:
a) A test plan shall be produced prior to the starting of the test and shall include:
1) the test specifications;
2) the expected results of tests;
3) the chronology of the tests.
b) Test records shall be produced that include the following:
1) the name of the tester;
2) the environmental conditions (see clause 8);
3) the test procedures and equipment used;
4) the results of the test.
c) The test records shall be compared with the test plan to give assurance that the specified functional and
performance targets are achieved.
The test sample shall be operated as near as possible to its final operating configuration, i. e. with all peripheral
devices and covers attached.
Testing can be applied manually or automatically (e. g. by computer).
6 © ISO 2003 – All rights reserved
---------------------- Page: 12 ----------------------
ISO 13849-2:2003(E)
Where applied, validation of the safety functions by testing shall be carried out by applying inputs, in various
combinations, to the safety–related part of the control system. The corresponding outputs shall be compared to the
appropriate specified outputs.
It is recommended that the combination of these inputs be applied systematically to the control system and the
machine. An example of this logic is: power-on, start-up, operation, directional changes, restart-up. Where
necessary, an expanded range of input data shall be applied to take into account anomalous or unusual situations
to see how the safety-related parts of the control system respond. Such combinations of input data shall take into
account foreseeable incorrect operation(s).
The objectives of the test will be determined by the environmental conditions for that test. The conditions may be:
a) the environmental conditions of intended use, or
b) conditions at a particular rating, or
c) a given range of conditions if drift is expected.
NOTE The range of conditions which is considered stable and over which the tests are valid should be agreed between the
designer and the person(s) responsible for carrying out the tests and should be recorded.
5.2 Measurement uncertainty
The uncertainty of measurements during the validation by testing shall be appropriate to the test being carried out.
In general, these measurement uncertainties shall be within 5 K for temperature measurements and 5 % for the
following:
a) time measurements,
b) pressure measurements,
c) force measurements,
d) electrical measurements,
e) relative humidity measurements,
f) linear measurements.
Deviations from these measurement uncertainties shall be justified.
5.3 Higher requirements
If, according to the information in the accompanying documents the control system fulfils higher requirements than
the requirements according to this standard, the higher requirements shall apply.
NOTE Such higher requirements can apply if the control system has to withstand particularly adverse service conditions,
e. g. rough handling, humidity effects, hydrolysation, ambient temperature variations, effects of chemical agents, corrosion, high
strength of electromagnetic fields, for example due to close proximity of transmitters.
5.4 Number of test samples
Unless otherwise specified, the tests shall be made on a single production sample of the safety–related part(s)
which should withstand all the relevant tests.
Safety–related part(s) under test shall not be modified during the course of the tests.
Some tests can permanently change the performance of some components. Where the permanent change in the
components causes the safety–related part(s) to be outside its design specification a new sample(s) shall be used
for subsequent tests.
© ISO 2003 – All rights reserved 7
---------------------- Page: 13 ----------------------
ISO 13849-2:2003(E)
Where a particular test is destructive and equivalent results can be obtained by testing part of the safety-related
part(s) of the control system providing the safety function in isolation, a sample of that part may be used instead of
the whole safety-related part(s) for the purpose of obtaining the results of the test. This approach shall only be
applied where it has been shown by analysis that testing of the safety–related part(s) is sufficient to demonstrate its
safety performance of the whole safety-related part providing the safety function.
6 Validation of safety functions
An important step is the validation of the safety functions provided by the safety–related parts of the control system
for complete compliance with their specified characteristics. In the validation process it is important to check for
errors and particularly for omissions in the formulated specification, provided with the design rationale.
The aim of validation of the safety functions is to ascertain that the safety–rel
...
NORME ISO
INTERNATIONALE 13849-2
Première édition
2003-08-15
Sécurité des machines — Parties des
systèmes de commande relatifs à la
sécurité —
Partie 2:
Validation
Safety of machinery — Safety-related parts of control systems —
Part 2: Validation
Numéro de référence
ISO 13849-2:2003(F)
©
ISO 2003
---------------------- Page: 1 ----------------------
ISO 13849-2:2003(F)
PDF – Exonération de responsabilité
Le présent fichier PDF peut contenir des polices de caractères intégrées. Conformément aux conditions de licence d'Adobe, ce fichier
peut être imprimé ou visualisé, mais ne doit pas être modifié à moins que l'ordinateur employé à cet effet ne bénéficie d'une licence
autorisant l'utilisation de ces polices et que celles-ci y soient installées. Lors du téléchargement de ce fichier, les parties concernées
acceptent de fait la responsabilité de ne pas enfreindre les conditions de licence d'Adobe. Le Secrétariat central de l'ISO décline toute
responsabilité en la matière.
Adobe est une marque déposée d'Adobe Systems Incorporated.
Les détails relatifs aux produits logiciels utilisés pour la création du présent fichier PDF sont disponibles dans la rubrique General Info
du fichier; les paramètres de création PDF ont été optimisés pour l'impression. Toutes les mesures ont été prises pour garantir
l'exploitation de ce fichier par les comités membres de l'ISO. Dans le cas peu probable où surviendrait un problème d'utilisation,
veuillez en informer le Secrétariat central à l'adresse donnée ci-dessous.
© ISO 2003
Droits de reproduction réservés. Sauf prescription différente, aucune partie de cette publication ne peut être reproduite ni utilisée sous
quelque forme que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie et les microfilms, sans l'accord écrit
de l'ISO à l’adresse ci-après ou du comité membre de l'ISO dans le pays du demandeur.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax. + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Publié en Suisse
ii © ISO 2003 – Tous droits réservés
---------------------- Page: 2 ----------------------
ISO 13849-2:2003(F)
Avant-propos
L'ISO (Organisation internationale de normalisation) est une fédération mondiale d'organismes nationaux de
normalisation (comités membres de l'ISO). L'élaboration des Normes internationales est en général confiée
aux comités techniques de l'ISO. Chaque comité membre intéressé par une étude a le droit de faire partie du
comité technique créé à cet effet. Les organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO participent également aux travaux. L'ISO collabore étroitement avec
la Commission électrotechnique internationale (CEI) en ce qui concerne la normalisation électrotechnique.
Les Normes internationales sont rédigées conformément aux règles données dans les Directives ISO/CEI,
Partie 2.
La tâche principale des comités techniques est d'élaborer les Normes internationales. Les projets de Normes
internationales adoptés par les comités techniques sont soumis aux comités membres pour vote. Leur
publication comme Normes internationales requiert l'approbation de 75 % au moins des comités membres
votants.
L'attention est appelée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO ne saurait être tenue pour responsable de ne
pas avoir identifié de tels droits de propriété et averti de leur existence.
L'ISO 13849-2 a été élaborée par le Comité européen de normalisation (CEN) en collaboration avec le comité
technique ISO/TC 199, Sécurité des machines, conformément à l'Accord de coopération technique entre l'ISO
et le CEN (Accord de Vienne).
Tout au long du texte du présent document, lire «… la présente Norme européenne …» avec le sens de
«… la présente Norme internationale …».
L'ISO 13849 comprend les parties suivantes, présentées sous le titre général Sécurité des machines ―
Parties des systèmes de commande relatives à la sécurité:
— Partie 1: Principes généraux de conception
— Partie 2: Validation
— Partie 100: Lignes directrices pour l'utilisation et l'application de l'ISO 13849-1
© ISO 2003 – Tous droits réservés iii
---------------------- Page: 3 ----------------------
ISO 13849-2:2003(F)
Sommaire Page
Avant-propos.v
Introduction .vi
1 Domaine d'application.1
2 Références normatives.1
3 Processus de validation .1
3.1 Principes de validation.1
3.2 Listes des défauts génériques.4
3.3 Listes des défauts spécifiques.4
3.4 Plan de validation.4
3.5 Informations pour la validation.5
3.6 Rapport de validation .6
4 Validation par analyse .6
4.1 Généralités.6
4.2 Techniques d’analyse .7
5 Validation par essais.7
5.1 Généralités.7
5.2 Incertitude de mesure .8
5.3 Spécifications supérieures.9
5.4 Nombre d’échantillons d’essais.9
6 Validation des fonctions de sécurité .9
7 Validation des catégories.10
7.1 Analyse et essais relatifs aux catégories .10
7.2 Validation des spécifications relatives aux catégories.10
7.3 Validation d’une combinaison de parties relatives à la sécurité .12
8 Validation des prescriptions d’environnement.12
9 Validation des prescriptions de maintenance.12
Annexe A (informative) Outils de validation pour les systèmes mécaniques .13
Annexe B (informative) Outils de validation pour les systèmes pneumatiques .19
Annexe C (informative) Outils de validation pour les systèmes hydrauliques .32
Annexe D (informative) Outils de validation pour les systèmes électriques .43
Bibliographie.56
iv © ISO 2003 – Tous droits réservés
---------------------- Page: 4 ----------------------
ISO 13849-2:2003(F)
Avant-propos
Le présent document EN ISO 13849-2:2003 a été élaboré par le Comité Technique CEN/TC 114 “Sécurité des
machines”, dont le secrétariat est tenu par le DIN, en collaboration avec le Comité Technique ISO/TC 199 “Sécurité
des machines”.
Cette Norme européenne devra recevoir le statut de norme nationale, soit par publication d'un texte identique, soit
par entérinement, au plus tard en février 2004, et toutes les normes nationales en contradiction devront être
retirées au plus tard en février 2004.
Le présent document a été élaboré dans le cadre d'un mandat donné au CEN par la Commission Européenne et
l'Association Européenne de Libre Échange et vient à l'appui des exigences essentielles de la (des) Directive(s) CE.
Les Annexes A à D sont informatives et sont structurées comme indiqué au Tableau 1.
Tableau 1 — Structure des articles des Annexes A à D
Annexe Technologie Liste des Liste des Liste des Liste des
principes de principes de composants de défauts et
sécurité de base sécurité sécurité exclusions de
éprouvés éprouvés défauts
Article
A Mécanique A.2 A.3 A.4 A.5
B Pneumatique B.2 B.3 B.4 B.5
C Hydraulique C.2 C.3 C.4 C.5
D Électrique (y compris D.2 D.3 D.4 D.5
électroniques)
Le présent document comprend une Bibliographie.
L’EN ISO 13849 comprend les parties suivantes, présentées sous le titres général "Sécurité des machines –
Parties de systèmes de commande relatives à la sécurité" :
Partie 1 : Principes généraux de conception.
Partie 2 : Validation.
Partie 100 : Lignes directrices pour l'utilisation et l'application de l'EN ISO 13849-1.
Selon le Règlement Intérieur du CEN/CENELEC, les instituts de normalisation nationaux des pays suivants sont
tenus de mettre cette Norme européenne en application : Allemagne, Autriche, Belgique, Danemark, Espagne,
Finlande, France, Grèce, Hongrie, Irlande, Islande, Italie, Luxembourg, Malte, Norvège, Pays-Bas, Portugal,
République Tchèque, Royaume-Uni, Slovaquie, Suède et Suisse.
© ISO 2003 – Tous droits réservés v
---------------------- Page: 5 ----------------------
ISO 13849-2:2003(F)
Introduction
Pour l'utilisation dans l'Union Européenne, la présente partie de l'EN ISO 13849 a le statut d’une norme de sécurité
générique (type B1).
La présente Norme européenne spécifie le processus de validation, comportant à la fois l’analyse et les essais des
fonctions et catégories de sécurité des parties des systèmes de commande relatives à la sécurité. Les descriptions
des fonctions de sécurité et les prescriptions relatives aux catégories sont données dans l'EN 954-1 (ISO 13849-1)
qui traite des principes généraux de conception. Certaines prescriptions pour la validation sont générales et
d’autres sont particulières à la technologie utilisée. L’EN ISO 13849-2 spécifie également les conditions dans
lesquelles il convient d'effectuer la validation par essais des parties de systèmes de commande relatives à la
sécurité.
L’EN 954-1 (ISO 13849-1) spécifie les prescriptions de sécurité et donne des indications sur les principes de
conception [voir EN 292-1:1991 (ISO/TR 12100-1:1992) 3.11] des parties de systèmes de commande relatives à la
sécurité. Pour ces parties, elle spécifie des catégories et décrit les caractéristiques des fonctions de sécurité
indépendamment du type d’énergie utilisée. Des conseils supplémentaires concernant la norme EN 954-1
(ISO 13849-1) sont donnés dans le guide CR 954-100 (ISO/TR 13849-100).
Le respect des prescriptions peut être validé par toute combinaison d’analyse (voir article 4) et d’essais (voir
article 5). Il convient de commencer cette analyse dès que possible pendant le processus de conception.
vi © ISO 2003 – Tous droits réservés
---------------------- Page: 6 ----------------------
ISO 13849-2:2003(F)
1 Domaine d'application
La présente Norme européenne spécifie les procédures et conditions à suivre pour la validation par analyse et par
essais :
¾ des fonctions de sécurité assurées ; et
¾ de la catégorie atteinte.
par les parties de système de commande relatives à la sécurité en conformité avec l’EN 954-1 (ISO 13849-1), en
utilisant le raisonnement de conception fourni par le concepteur.
La présente Norme européenne ne donne pas de prescriptions complètes de validation pour les systèmes
électroniques programmables et peut par conséquent nécessiter l’utilisation d’autres normes.
NOTE Le CEN/TC 114/WG 6 propose de traiter avec plus de détail la validation des systèmes électroniques
programmables pendant l’élaboration de la révision de l’EN 954-1 (ISO 13849-1). Une norme d’application pour les machines
(projet CEI 62061), basée sur la CEI 61508, est en préparation. Des prescriptions pour les systèmes électroniques
programmables, incluant les logiciels embarqués, sont données dans la norme CEI 61508.
2 Références normatives
Cette Norme européenne comporte par référence datée ou non datée des dispositions d'autres publications. Ces
références normatives sont citées aux endroits appropriés dans le texte et les publications sont énumérées
ci-après. Pour les références datées, les amendements ou révisions ultérieurs de l'une quelconque de ces
publications ne s'appliquent à cette Norme européenne que s'ils y ont été incorporés par amendement ou révision.
Pour les références non datées, la dernière édition de la publication à laquelle il est fait référence s'applique (y
compris les amendements).
EN 292-1:1991 (ISO/TR 12100:1992), Sécurité des machines - Notions fondamentales, principes généraux de
conception – Partie 1 : Terminologie de base, méthodologie.
EN 954-1:1996 (ISO 13849-1:1999), Sécurité des machines - Parties de systèmes de commande relatives à la
sécurité – Partie 1 : Principes généraux de conception.
3 Processus de validation
3.1 Principes de validation
Le but du processus de validation est de confirmer la spécification et la conformité de la conception des parties de
système de commande relatives à la sécurité, dans le cadre des prescriptions de sécurité globales des machines.
La validation doit démontrer que chacune des parties relatives à la sécurité répond aux prescriptions de l'EN 954-1
(ISO 13849-1), en particulier :
¾ les caractéristiques de sécurité spécifiées des fonctions de sécurité assurées par cette partie, conformément
au raisonnement de conception et ;
¾ les prescriptions de la catégorie spécifiée [voir EN 954-1:1996 (ISO 13849-1:1999) article 6].
Il convient que la validation soit effectuée par des personnes qui sont indépendantes de la conception de la (des)
partie (s) relative (s) à la sécurité.
NOTE Une personne indépendantes ne signifie pas nécessairement qu’un essai de tiers est requis.
© ISO 2003 – Tous droits réservés 1
---------------------- Page: 7 ----------------------
ISO 13849-2:2003(F)
Il convient que le degré d’indépendance reflète la performance de la partie relative à la sécurité.
La validation consiste à mettre en œuvre l’analyse (voir article 4) et, si nécessaire, à faire des essais (voir article 5)
conformément au plan de validation. La Figure 1 donne une vue d’ensemble du processus de validation. Le
dosage entre l’analyse et/ou les essais dépend de la technologie.
Il convient que l’analyse soit entreprise aussi tôt que possible et en parallèle avec le processus de conception, de
sorte que les problèmes puissent être corrigés précocement pendant qu’il est encore aisé de le faire, c’est-à-dire
durant les phases 3 et 4 de l’EN 954-1:1996 (ISO 13849-1:1999), 4.3. Il peut être nécessaire de retarder certaines
parties des analyses jusqu’à ce que la conception soit bien avancée.
Dans le cas de grands systèmes, en raison de la taille, de la complexité ou de l’intégration (à la machine) du
système de commande, des dispositions particulières peuvent être adoptées pour :
¾ valider les parties de système de commande relatives à la sécurité séparément avant intégration y compris la
simulation des signaux d’entrée et de sortie appropriés ;
¾ valider les effets de l'intégration des parties de systèmes de commande relatives à la sécurité au reste du
circuit de commande dans le contexte de son utilisation dans la machine.
2 © ISO 2003 – Tous droits réservés
---------------------- Page: 8 ----------------------
ISO 13849-2:2003(F)
Figure 1 — Vue d’ensemble du processus de validation
© ISO 2003 – Tous droits réservés 3
---------------------- Page: 9 ----------------------
ISO 13849-2:2003(F)
3.2 Listes des défauts génériques
Le processus de validation nécessite la prise en compte du comportement de la (des) partie(s) relative(s) à la
sécurité du système de commande pour tous les défauts à considérer. Une base pour la considération des défauts
est donnée dans les listes de défauts des annexes informatives (A.5, B.5, C.5 et D.5), qui s’appuient sur
l’expérience. Les listes des défauts génériques comportent :
¾ les composants/éléments à inclure, par exemple : les conducteurs/câbles (voir D.5.2) ;
¾ les défauts à prendre en compte, par exemple les courts-circuits entre conducteurs ;
¾ les exclusions de défauts autorisées ;
¾ une rubrique de remarques justifiant les exclusions de défauts.
Seuls les défauts permanents sont pris en compte.
3.3 Listes des défauts spécifiques
Une liste des défauts spécifiques se rapportant au produit doit être établie pour servir de document de référence au
processus de validation de la (des) partie(s) relative(s) à la sécurité. La liste peut s’appuyer sur la(les) liste(s)
générique(s) appropriée(s) figurant en annexe.
Lorsque la liste des défauts spécifiques se rapportant au produit est basée sur une (des) liste(s) générique elle doit
mentionner :
¾ les défauts extraits de la(des) liste(s) générique(s) à inclure ;
¾ tout autre défaut pertinent à inclure mais non donné dans la liste générique (par exemple : défauts de mode
commun) ;
¾ les défauts extraits de la(des) liste(s) générique(s) qu’il est possible d’exclure et qui peuvent au moins
satisfaire aux critères indiqués dans la(les) liste(s) générique(s) [voir EN 954-1:1996 (ISO 13849-1:1999),
7.2] ;
et exceptionnellement
¾ tout autre défaut pertinent, figurant dans la liste générique mais non susceptible d’être exclu par la(les) liste(s)
générique(s), ainsi que la justification de son exclusion et le raisonnement suivi pour parvenir à cette exclusion
[voir EN 954-1:1996 (ISO 13849-1:1999), 7.2].
Lorsque cette liste n’est pas basée sur une(des) liste(s) générique(s) le concepteur doit donner le raisonnement
pour les exclusions de défaut.
3.4 Plan de validation
Le plan de validation doit identifier et décrire les prescriptions de mise en œuvre du processus de validation des
fonctions de sécurité spécifiées et de leurs catégories.
Le plan de validation doit également identifier les moyens à employer pour valider les fonctions de sécurité
spécifiées et les catégories. Lorsque cela est approprié, il doit établir :
a) l’identité des documents de spécification ;
b) les conditions de fonctionnement et d’environnement ;
c) les principes de sécurité de base (voir A.2, B.2, C.2, et D.2) ;
4 © ISO 2003 – Tous droits réservés
---------------------- Page: 10 ----------------------
ISO 13849-2:2003(F)
d) les principes de sécurité éprouvés (voir A.3, B.3, C.3, et D.3) ;
e) les composants éprouvés (voir A.4 et D.4) ;
f) les hypothèses de défauts et les exclusions de défauts à prendre en compte, par exemple à partir des listes
informatives de défauts de A.5, B.5, C.5, et D.5 ;
g) les analyses et les essais à appliquer.
Pour les parties relatives à la sécurité qui ont été validées précédemment pour une même application, une
référence à cette précédente validation suffit.
3.5 Informations pour la validation
L’information requise pour la validation varie avec la technologie utilisée, la(les) catégorie(s) à démontrer, le
raisonnement suivi lors de la conception du système et la contribution des parties relatives à la sécurité des
systèmes de commande à la réduction des risques. Les documents contenant une information suffisante et issus
de la liste ci-dessous doivent être inclus dans le processus de validation afin de démontrer la(les) catégorie(s) et
la(les) fonction(s) de sécurité des parties de systèmes de commande relatives à la sécurité qui ont été réalisées :
a) spécification(s) des performances escomptées des fonctions de sécurité et des catégories ;
b) plans et spécifications, par exemple pour les parties mécaniques, hydrauliques et pneumatiques, cartes de
circuits intégrés et cartes assemblées, câblage intérieur, enveloppe, matériaux, montage ;
c) schéma(s) fonctionnel(s) avec description fonctionnelle des blocs ;
d) schéma(s) de circuits y compris les interfaces/connexions ;
e) description fonctionnelle du(des) schéma(s) de circuits ;
f) diagrammes séquentiels des composants de commutation, signaux relatifs à la sécurité ;
g) description des caractéristiques pertinentes des composants préalablement validés ;
h) pour les autres parties relatives à la sécurité (sauf celles listées en g)), listes des composants avec
désignation des éléments, valeurs nominales, tolérances, contraintes en fonctionnement, désignation du type,
données relatives au taux de défaillance, fabricant des composants et toute autre donnée relative à la
sécurité ;
i) analyse de tous les défauts pertinents (voir aussi 3.2) listés par exemple en A.5, B.5, C.5, et D.5, incluant la
justification de toute exclusion de défauts ;
j) analyse de l’influence des matériaux traités ;
Informations spécifiques à la catégorie conformément au Tableau 2. Lorsque cela est approprié, la documentation
relative aux logiciels doit inclure :
1) une spécification claire, et sans ambiguïté établissant les performances de sécurité que le logiciel doit
réaliser, et
2) la preuve que le logiciel est conçu pour réaliser les performances de sécurité requises, et
3) les détails des essais (en particulier les rapports d’essais) effectués pour prouver que les performances
de sécurité requises sont réalisées.
© ISO 2003 – Tous droits réservés 5
---------------------- Page: 11 ----------------------
ISO 13849-2:2003(F)
Tableau 2 — Prescriptions de documentation par catégories
Catégorie pour laquelle la
Prescription de documentation
documentation est exigée
B 1 2 3 4
Principes de sécurité de base
X X X X X
Contraintes de fonctionnement prévues
X X X X X
Influences du matériau traité
X X X X X
Performances sous d’autres influences extérieures
X X X X X
Composants éprouvés – X – – –
Principes de sécurité éprouvés – X X X X
Procédure de contrôle de la (des) fonction(s) de sécurité – v X – –
Intervalles de contrôle, lorsque spécifiés
– – X – –
Défauts uniques prévisibles pris en compte à la conception et méthode de
– – X X X
détection utilisée
Défaillances de mode commun identifiées et mode de prévention
– – – X X
Exclusions de défauts uniques prévisibles
– – – X X
Défauts à détecter
– – X X X
Diversité des accumulations de défauts prises en compte à la conception
– – – – X
Manière dont la fonction de sécurité est assurée pour chaque défaut
– – – X X
Manière dont la fonction de sécurité est assurée pour chaque combinaison de
– – – – X
défauts
NOTE Les catégories mentionnées dans le Tableau 2 sont celles données dans l’EN 954-1 (ISO 13849-1).
3.6 Rapport de validation
La validation par analyse et essais doit faire l’objet d’un rapport. Le rapport doit décrire le processus de validation
de chaque prescription de sécurité. Il est possible de faire référence à de précédents rapports de validation, à
condition qu’ils soient convenablement identifiés.
Pour toute partie relative à la sécurité qui n’a pas franchi une partie du processus de validation, le rapport de
validation doit indiquer la(les) partie(s) des essais de validation et/ou des analyses qui a (ont) échoué.
4 Validation par analyse
4.1 Généralités
La validation des parties de systèmes de commande relatives à la sécurité doit être effectuée par analyse. Les
données d’entrée de l’analyse sont :
¾ les phénomènes dangereux identifiés au cours de l’analyse sur la machine [voir EN 954-1:1996
(ISO 13849-1:1999), Figure 1] ;
¾ la fiabilité machine [voir EN 954-1:1996 (ISO 13849-1:1999), 4.2] ;
6 © ISO 2003 – Tous droits réservés
---------------------- Page: 12 ----------------------
ISO 13849-2:2003(F)
¾ l’architecture du système machine [voir EN 954-1:1996 (ISO 13849-1:1999), 4.2] ;
¾ les aspects qualitatifs, non quantifiable, influant sur le comportement du système [voir EN 954-1:1996
(ISO 13849-1:1999), 4.2] ;
¾ arguments déterministes.
La validation des fonctions de sécurité par analyse plutôt que par essais exige la formulation d’arguments
déterministes. Les arguments déterministes diffèrent des autres justifications en cela qu’ils montrent que les
propriétés exigées du système découlent logiquement d’une modélisation du système. De tels arguments peuvent
être construits sur la base de notions simples, bien comprises, telles que la justesse d’un verrouillage mécanique.
NOTE Un argument déterministe est un argument, fondé sur des aspects qualitatifs (par exemple : qualité de fabrication,
taux de défaillance, expérience d’utilisation). Cette analyse dépend de l’application. Cela et d’autres facteurs peuvent affecter
les arguments déterministes.
4.2 Techniques d’analyse
Le choix d’une technique d’analyse dépend de l’objectif à atteindre. Deux types fondamentaux de techniques
existent :
a) Les techniques descendantes (déductives) conviennent pour déterminer les événements déclencheurs qui
peuvent conduire à des événements supérieurs identifiés et pour calculer la probabilité des événements
supérieurs à partir de la probabilité des événements déclencheurs. Elles peuvent également servir à
rechercher les conséquences de défauts multiples identifiées. Des exemples de techniques descendantes
sont l’Analyse par Arbre des Défaillances (ADD – voir CEI 61025) et l’Analyse par Arbre des Événements
(AAE) ;
b) Les techniques ascendantes (inductives) conviennent pour rechercher les conséquences de défauts uniques
identifiés. Des exemples de techniques ascendantes sont l’Analyse des Modes de Défaillance et de leurs
Effets (AMDE – voir CEI 60812), Analyse des Modes de Défaillance, de leurs Effets et de leur Criticité
(AMDEC).
De plus amples informations sur les méthodes d’analyse sont données dans l'EN 1050:1996 (ISO 14121:1999),
Annexe B.
5 Validation par essais
5.1 Généralités
Lorsque la validation par analyse ne suffit pas à démontrer la réalisation des fonctions de sécurité et des
catégories spécifiées, des essais doivent être réalisés pour achever la validation. Les essais sont toujours
complémentaires à l’analyse et sont souvent nécessaires.
Les essais de validation doivent être programmés et réalisés de façon logique. En particulier :
a) un plan des essais doit être présenté avant de commencer les essais et doit inclure :
1) les spécifications d’essais ;
2) les résultats d’essais attendus ;
3) la chronologie des essais.
b) des rapports d’essais, comportant les éléments suivants, doivent être fournis :
1) le nom de la personne qui a effectué l’essai ;
© ISO 2003 – Tous droits réservés 7
---------------------- Page: 13 ----------------------
ISO 13849-2:2003(F)
2) les conditions d’environnement (voir article 8) ;
3) les procédures d’essais et les équipements utilisés ;
4) les résultats d’essai.
c) les rapports d’essais doivent être comparés avec le plan des essais pour s’assurer que les objectifs de
fonctionnement et de performances spécifiés sont atteints.
L’échantillon d’essai doit être utilisé dans des conditions aussi proches que possible de sa configuration
opérationnelle définitive, c’est-à-dire avec tous les dispositifs périphériques et couvercles fixés.
Les essais peuvent être effectués manuellement ou automatiquement (par exemple par ordinateur).
Lorsqu’elle est pratiquée, la validation des fonctions de sécurité par essais doit être effectuée en introduisant des
données d’entrée, combinées de diverses manières, dans les parties du système de commande relatives à la
sécurité. Les données de sortie correspondantes doivent être comparées aux données de sortie spécifiées.
Il est recommandé d’appliquer systématiquement la combinaison de ces données d’entrée au système de
commande et à la machine. Voici un exemple de cette logique : mise sous tension, mise en marche,
fonctionnement, inversion de mouvement, remise en marche. Si nécessaire, une gamme étendue de données
d’entrée doit être introduite pour prendre en compte les situations anormales ou inhabituelles et vérifier comment la
partie du système de commande relative à la sécurité répond. Ces combinaisons de données d’entrée doivent
prendre en compte tout dysfonctionnement prévisible.
Les objectifs de l’essai sont déterminés par les conditions d’environnement pour cet essai. Les conditions peuvent
être :
¾ des conditions d’environnement pour l’utilisation prévues, ou
¾ des conditions spécifiques, ou
¾ une gamme donnée de conditions si une dérive est attendue.
NOTE Il convie
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.