31.10.2002 1(10) IEC 61508 soveltaminen prosessiteollisuudessa Sisällysluettelo 1. Taustaa turvallisuuteen liittyvän automaation soveltamisessa Kemira Oy:ssä 2. Sovellusesimerkki: Kemira Agron Uudenkaupungin typpihappotehtaiden automaation uusinta, Tauto projekti 3. Standardin soveltamisessa esiin tulleita ongelmia 4. Liitteet Liite 1: Toimintakaavio TET:n määräämiseksi Liite 2: Tauto projektin yleisaikataulu Liite 3: Tauto projektin automaation organisaatiokaavio Liite 4: Esisuunnitteluvaiheen riskikartoituksen tulokset Liite 5: Vaaratilanneanalyysi, räjähdysvaarallisen amm.-/ilmaseoksen syntyminen Liite 6: Riskiarviointivaiheen 2 tulokset Liite 7: Muutokset perusautomaatio- ja lukitusjärjestelmiin Liite 8: Menu näyttö typpihappotehdas 1 Liite 9: Kompressorilukitusketju T1 Liite 10: Typpihappotehtaiden automaation periaatekaavio Liite 11: Ammoniakki-/ilmasuhteen suojauspiirin luotettavuusarviointi Liite 12: Tulistetun ammoniakin lämpötilan valvonta Liite 13: Typpihappotehdas 1:n piirikohtainen testaussuunnitelma
31.10.2002 2(10) 1. Taustaa turvallisuuteen liittyvän automaation soveltamisessa Kemira Oy:ssä Turvakriittiseen automaatioon panostaminen aloitettiin vv. -85/-86 Kokkolaan rakennettavan hienokemikaalitehtaan suunnittelussa. Yhteistyössä VTT:n kanssa kehitettiin menetelmiä suunniteltujen suojaustoimintojen luotettavuuden arvioimiseksi mm. RELVEC ohjelmaa käyttäen. Kemira Engineering lähti mukaan IEC:n standardointityöhön, Jouko Järvi osallistui SC65A WG 10:n toimintaan, jossa rakennettiin pohja nykyiselle IEC 61508 standardille. Kemira Engineering (Jouko Järvi) ja eräät Kemiran toimipaikat laativat yhteistyössä Turvakriittisen automaation suunnitteluohjeet. Ohjeet perustuivat silloin kehitteillä olleeseen IEC standardiin ja TTK:n ohjeisiin. Ensimmäinen luonnos ohjeesta valmistui joulukuussa -91 ja versio 1.0 marraskuussa -94. Kemira Agro asetti PROSA - projektin, jonka tarkoituksena oli antaa sovellusohjeita riskinarvioinnissa turvakriittisten prosessien automaation suunnittelua varten. Projektin tuloksena ohje Guidelines and Models for Safety-critical Instrumentation and Automation. Ohje julkaistiin v. 2000, jolloin myös järjestettiin koulutusta ohjeen soveltamiseen Kemira Agron toimipaikkojen automaatiohenkilöstölle. Ohjeeseen sisältyvä kulkukaavio turvallisuuden eheystason määritykselle on liitteenä 1. Kemira Agro asetti useita työryhmiä valmistelemaan ohjeistoja vaarallisten prosessien turvalliselle toteutukselle (Codes of Practice). Kemira Agro ja Kemira Chemicals päättivät soveltaa turvakriittisten projektien toteuttamisessa IEC 1508:aa. 2. Sovellusesimerkki: Kemira Agron Uudenkaupungin typpihappotehtaiden automaation uusinta, TAUTO projekti 2.1 Projektin tavoite TAUTO - Projektin I vaiheen tavoite on: Varmistaa typpihappotehtaiden (T1, T2, T3) automaation häiriötön toiminta Uudenkaupungin tuotantolaitoksilla pitkälle yli 2000-luvun ensimmäisen vuosikymmenen uusimalla vanha vuonna 1981 käyttöönotettu automaatiojärjestelmä, turvalukitusjärjestelmä ja turbiinien kunnonvalvontajärjestelmä. Lisätä automaatiotoimintojen turvallisuutta typpihappotehtailla tekemällä riskikartoitukseen perustuva IEC61508:n vaatimukset täyttävä automaation turvallisuuden tason määritys ja ko. tasolle sertifioidun automaatiolaitteiston hankinta. Nostaa typpihappotehtaiden automaation tasoa siten että laitosten kaukovalvonta on mahdollista. Häiriötilanteissa laitoksia on voitava ajaa tehtaalla olevasta paikallisohjausvalvomosta.
31.10.2002 3(10) Toteutetaan LAINE - projektin määrittelyn mukaisesti nesteliikenteen automatisointi ja turvallisuuden tason parantaminen siten, että kaikki tekniset ja synergia edut huomioidaan valvomouudistukseen liittyvinä. 2.2 Projektin sisältö Toteutussuunnitelma sisältää typpihappotehtailla mm. seuraavaa: Automaatiotason määrittelyn jäädytys ja sopiminen = scope Valvomostrategiasta sopiminen ja ohjaamon(jen) paikan määrittely Laitetilat, automaatio ja sähkö Moottoriohjauskeskus (T1) Suunnittelujärjestelmän käyttöönotto toteutuksessa Turva-automaatio SIL2/IEC61508 standardin mukaisena Uusi automaatiojärjestelmä Moottoriohjaukset Tiedon tallennus, siirto ja raportointi = info järjestelmä Mittausten kehitys (turvallisuus, hyötysuhteen nosto) Isojen koneiden kunnonvalvonta 2.3 Projektin aikataulu Investointiesityksen valmisteluvaiheessa 1999 tehtiin ensimmäinen riskiarviointi uuteen automaation sisältyvältä TLJ:ltä vaadittavan turvallisuuden eheystason määrittämiseksi. Projektin varsinainen esisuunnittelu käynnistyi liitteen 2 aikataulun mukaisesti tammikuussa 2001. Investointiesitys tehtiin 30.5.2001 Investointipäätös tehtiin 31.8.2001 Typpihappotehdas 1 pysäytettiin 15.9.2002 Typpihappotehdas 1 käynnistettiin uudistetulla automaatiojärjestelmällä 23.9.2002 Typpihappotehtaan 2 pysäytys oli 7.10.2002 ja uudelleenkäynnistys 13.10.2002 Projektin yleisaikataulu on liitteenä 2. 2.4 Projektiorganisaatio Projektin organisaatiokaavio automaation osalta on liitteenä 3. 2.5 Turvallisuussuunnittelu Turvallisuussuunnittelu on projektisuunnitelmassa määritelty seuraavasti:
31.10.2002 4(10)
31.10.2002 5(10) TURVALLISUUSSUUNNITTELU Yleistä Toteutus Turvallisuuskartoitusten teko sekä niiden edellyttämien toimenpiteiden toteutus on projektipäällikön vastuulla. Varsinaisten turvallisuuskartoitusten suorittaminen hoidetaan prosessityöryhmän toimesta. osallistuu asiantuntijan ominaisuudessa vaara- ja riskianalyysin laadintaan ja turvallisuuteen liittyvän järjestelmän (TLJ) määrittelyyn. 2.6 Vaara- ja riskianalyysit Esisuunnitteluvaiheessa tehdyn ensimmäisen riskiarvioinnin tavoitteena oli tunnistaa vakavimmat riskit ja arvioida niiden välttämiseksi toteutettavalta suojausjärjestelmältä vaadittava turvallisuuden eheystaso. Tämän riskiarvioinnin suoritti työryhmä, johon kuuluivat projektipäällikkö, energiayksikön päällikkö, typpihappotehtaiden päivämestari ja hänen eläkkeelle siirtynyt edeltäjänsä sekä automaatio-osaprojektin vetäjä ja. Riskikartoituksessa käytiin läpi typpihappotehtaiden PI-kaaviot ja kirjattiin tehdaskohtaisesti prosessivaiheittain taulukkomuotoon tunnistetut vaaralliset tapahtumat ja niiden seurausvaikutukset. Työssä noudatettiin standardin IEC 61508 riskigraafin mukaista menettelyä, jossa kunkin vaaratilanteen kohdalla arvioitiin vaarallisen tapahtuman vaikutus, ts. mahdollisesti aiheutuvan vamman vakavuusaste (parametri C),vaaralle altistuvien henkilöiden lukumäärä ja altistuminen (kuinka suuri osa ajasta työskennellään vaara-alueella, parametri F), vaaran välttämismahdollisuus (parametri P) sekä vaaratilanteen esiintymistaajuus (parametri W). Parametrien perusteella riskigraafi antaa kullekin vaaratilanteelle suojaustoiminnalta vaadittavan turvallisuuden eheystason (SIL). Riskien tunnistamisessa käytettiin Uudenkaupungin typpihappotehtaiden PI-kaavioiden ja olemassa olevan lukitusjärjestelmän kaavioiden lisäksi apuna Kemira Agron Frederician typpihappotehtaiden 3 ja 4 Hazop aineistoa ja tehtyjä ns. Barrier-diagrammeja, koska näiden tehtaiden todettiin prosessiteknisesti vastaavan Ukin typpihappotehtaita 1 ja 2. Riskikartoituksen 1. vaiheessa päädyttiin vakavimpien riskien kohdalla eheystasovaatimukseen SIL 2 tai SIL 3 riippuen arvioidusta vaaratilanteen esiintymistaajuudesta. Kartoituksen tulokset on esitetty liitteessä 4. Eräiden riskien kohdalla päädyttiin eheystasovaatimukseen 2 tai 3 riippuen arvioidusta vaaratilanteen esiintymistaajuudesta. Tämän johdosta tehtiin merkittävimmäksi vaaraksi arvioidun liian korkean ammoniakki-/ilmasuhteen syntymisestä vikapuu, jonka avulla taajuutta pyrittiin laskennallisesti määrittämään. Laskelmat osoittivat, että ilman muutoksia prosessissa tai perusautomaatiossa esiintymistaajuutta ei saada niin alhaiseksi, että päästäisiin tasolle 2. Perusautomaatioon määriteltiin tämän johdosta uusia hälytys- ja lukitustoimintoja, jotka näkyvät liitteen 5 sivulla 2 varjostettuina. Näiden lisätoimintojen jälkeen päädyttiin liitteen 5 mukaiseen kaavioon, jossa arvioitu vaaratilanteen esiintymistaajuus on 0.02/a, mikä antaa riskigraafin parametrille W arvoksi W 1, jolloin vaadittavaksi
31.10.2002 6(10) turvallisuuden eheystasoksi muodostuu riskigraafin polusta C D F A P B W 1 TET = 2. Tämän harjoituksen perusteella tehtiin päätös TLJ:n kustannusarviosta TET = 2 pohjalta ja jätettiin muiden TET:n suhteen epävarmojen vaaratilanteiden tarkempi analysointi projektin toteutusvaiheeseen. Riskikartoituksen 2. vaiheen suoritti sama työryhmä ja työssä tarkennettiin 1. vaiheen tuloksia sekä etsittiin keinoja alentaa vaaratilanteiden esiintymistaajuutta prosessitekniikan (mm. varoventtiilien ja murtolevyjen) ja perusautomaatioon lisättyjen toimintojen avulla. Toisen vaiheen tulokset koottiin raporttiin Riskikartoitus / Riskiarviointi vaihe 2. Raportin taulukko 1 on liitteenä 6 ja sisältää tehtaittain ja osaprosesseittain tunnistetut vaaratilanteet ja niiden luokittelun. Raportin taulukko 2, joka on liitteenä 7, sisältää esitetyt muutokset sekä perusautomaatioon että turvajärjestelmän lukituspiireihin. Riskiarvioinnissa käytettiin pääosin IEC 61508 liitteen D puolikvantitatiivista riskigraafia, joskin joissakin tapauksissa todettiin yksinkertaisemmaksi käyttää kvalitatiivista graafia. Liitteessä 6 tapaukset erottuvat toisistaan siinä, että puolikvantitatiivisessa riskigraafissa parametrien C, F ja P alaindeksit ovat kirjaimia, kun ne kvalitatiivisessa graafissa ovat numeroita. Osana riskiarviointia tarkasteltiin myös Kemira Agro Oy:n Uudenkaupungin tehtaiden käyttämien happojen varastointi ja siirtojärjestelmät sekä henkilö- että ympäristöriskien osalta. Näiden arvioinnissa päädyttiin vain 2 tapauksessa TET arvoon 1, muiden kohdalla päädyttiin arvoon a tai -. Kemira Agro Oy julkaisi heinäkuussa 2002 sisäisen ohjeen Code of Practice for the Safe Manufacture and Handling of Nitric Acid (NACoP). Suunniteltu perusautomaatio ja suojausjärjestelmä täyttää myös NACoP:ssa esitetyt vaatimukset. 2.7 Toteutus Toteutusvaiheessa lähtökohtana oli se, että kummallekin typpihappotehtaalle hankittiin omat TLJ:t. TLJ:t kyseltiin yhdessä perusautomaatiojärjestelmän kanssa. Valinta kohdistui Honeywelliin, jonka tarjoama TLJ on tyypiltään FSC (Fail Safe Control) DMR 1002 (Dual Mode Redundant). Kyseinen tyyppi on sertifioitu TE tasolle 3. Järjestelmän tulo- ja lähtökortit ovat Fail Safe tyyppiä, mistä johtuen päädyttiin käyttämään yksinkertaisia (ei kahdennettuja) liitäntöjä. Alkuvaiheessa harkittiin keskusyksikön kahdennusta, mikä olisi mahdollistanut suojausketjujen muutoksien toteutuksen on line. Todettiin kuitenkin, ettei tähän ole tarvetta ja kustannussyistä valittiin yhden keskusyksikön rakenne kummallekin tehtaalle. Kumpikin keskusyksikkö on kuitenkin varustettu 2 prosessorilla, ja sisäisellä diagnostiikalla, joka vertaa prosessorien tuloksia toisiinsa ja eron ilmetessä hälyttää sekä ajaa tehtaan alas. Kenttälaitteiden uusinnassa käytettiin kriteerinä sekä käytöltä että kunnossapidolta saatuja arvioita yksittäisten laitteiden toimivuudesta. Uusittiin vain ne, joiden osalta kokemukset olivat huonot tai jotka nyt muuten todettiin huonosti käyttötarkoitukseen sopiviksi. Suojauspiireissä huomioitiin myös IEC 61508-2:n taulukossa 2 esitetyt arkkitehtuurivaatimukset. Mikäli suojauspiiriin oli ajateltu vain yhtä mittausta, varmistettiin Sintefin (kts. 3.3) julkaisusta, että ilmoitetuilla vaarallisten ja turvallisten vikatiheyksien sekä diagnostiikan kattavuuksien avulla laskettu turvallisten vikojen osuus (Safe Failure Fraction) täyttää TET 2:lle asetetun min 60% vaatimuksen. Esim. konventionaaliselle painelähettimelle annetut arvot ovat:
31.10.2002 7(10)? D = 0.8*10-6 /h, DC = 0.9;? S = 0.5*10-6 /h, DC = 0.2: SFF = (0.5+0.9*0.8)/(0.5+0.8) = 92%. Käytännössä valtaosa suojauspiireistä toteutettiin 1oo2 tai 2oo3 tulopiirein. TLJ:n tulot ja lähdöt on toteutettu lepovirtaperiaatteella. Analogiatulot, jotka viedään sekä TLJ:ään että perusautomaation prosessiasemalle, on toteutettu niin, että lähettimen syöttö tulee TLJ:ltä ja signaali perusautomaatioon tulee virtamuuntimen kautta. Muuntimen vikaantuminen ei aiheuta TLJ-tulon vikaantumista. Binääri I/O:n monistaminen on toteutettu releillä. TLJ:n suorittamista suojauksista viedään tieto perusautomaatiojärjestelmälle binääri I/O:n kautta. Suojauksen tapahduttua perusautomaatio asettaa lähtönsä turvatilaan ja valvoo lisäksi päätetilan saavuttamista. Mikäli jokin toimilaite ei saavuta päätetilaansa, järjestelmä tulostaa hälytyksen ja estää suojausketjun uudelleenvirityksen. TLJ:n käyttöliittymä on toteutettu Honeywellin normaaleita operointipäätteitä käyttäen. Esimerkkeinä käyttöliittymästä ovat liitteen 8 Menu-näyttö tehtaalta 1 ja liitteen 9 kompressorilukitusketjun tehtaalta 1. Kokonaisautomaation toteutuksen periaatekaavio on esitetty liitteessä 10. Turva-automaation perussuunnittelun suoritti Air-IX:n Heimo Heikkilä, jolla oli aiempaa kokemusta turva-automaatiosta erityisesti voimalaitosten puolelta. Perussuunnittelun kuluessa järjestettiin toteutusperiaatteiden selkiyttämiseksi useita kokouksia, joihin kirjoittaja osallistui asiantuntijan ominaisuudessa. TLJ:n konfiguroinnin suoritti perussuunnitteludokumenttien pohjalta Honeyvellin Hollannissa sijaitseva Honeywell Safety Management Systems B.V. TLJ:n tehdaskoestus (FAT) tehtiin 2 vaiheessa. Ensimmäinen vaihe tapahtui valmistajan tehtailla Hollannissa ja kesti 5 päivää. Tällöin testattiin valmistajan ohjelman mukaisesti FSC:n perusominaisuudet ja sen jälkeen kaikki suojausketjut perussuunnitteludokumenttien avulla simulaattoreita käyttäen. Toinen vaihe tehtiin vuokratuissa väliaikaisasennustiloissa Uudessakaupungissa. Tällöin testaus kohdistui integroituun järjestelmään, jossa sekä perusautomaation että TLJ:n toiminnat käytiin perusteellisesti läpi täydessä laajuudessa. Toinen testausvaihe kesti n. 3 kk. Kirjoittaja osallistui testauksiin asiantuntijan ja arvioijan ominaisuudessa. Perusautomaatiojärjestelmän ja TLJ:ien elektroniikkakaapit asennettiin uusiin projektissa rakennettuihin ristikytkentätiloihin, valvomolaitteet uuteen valvomorakennukseen. Asennuksien päätyttyä järjestettiin tehdas kerrallaan n. viikon seisakki, jona aikana vanhat perusautomaatio- ja lukitusjärjestelmät purettiin ja kaapelointi käännettiin vanhasta ristikytkentätilasta uuteen. Seisakin aikana tehtiin systemaattinen TLJ:n kokonaiskelpoistus (SAT) etukäteen laaditun tarkan ohjelman mukaisesti. Kun kaikki toiminnot oli hyväksytysti testattu, suoritettiin tehtaan käynnistys suunnitelman mukaisesti. Typpihappotehdas 1 käynnistyi aikataulun mukaisesti ongelmitta, typpihappotehdas 2:n kohdalla aikataulu alitettiin n. vuorokaudella. Automaatiojärjestelmien ja TLJ:ien I/O laajuudet ovat:
31.10.2002 8(10) THT 1: Automaatiojärjestelmä 1180 TLJ 103 THT 2: Automaatiojärjestelmä 961 TLJ 142 Huom: Lähes kaikki TLJ:lle viedyt signaali on liitetty myös automaatiojärjestelmään. Automaatiojärjestelmä saa tiedoksi myös TLJ:n mittausarvot MODBUS sarjaliikenneväylän kautta (yksisuuntainen liikenne). 3. Standardin soveltamisessa esiin tulleita ongelmia 3.1 Riskigraafin parametrien määrääminen Hazop tarkasteluissa yleensä löydetään riskit ja löydetään niiden välttämiseksi erilaisia prosessiteknisiä tai instrumentointiin perustuvia keinoja. Perinteinen Hazop menettely tai poikkeamatarkastelu ei kuitenkaan anna riittäviä tietoja riskigraafeissa esiintyvien parametrien määräämiseksi. Erityisen hankalaa on Hazop tulosten perusteella johtaa vaaratilanteiden esiintymistiheyksiä, ts. määrittää arvo parametrille W. Näiden määräämiseksi joudutaan usein täydentämään Hazop tuloksia uusilla tarkasteluilla; eräissä tapauksissa joudutaan laatimaan esim. vikapuita esiintymistiheyksien laskemiseksi. Parametrin P kohdalla täytyy täyttää kolme eri ehtoa lievemmän arvon P A käyttämiselle: Näistä kahden ensimmäisen, hälytyksen saaminen TLJ:n vikaantumisesta ja riippumattomien laitoksen alasajon toteuttavien laitteiden (esim. Hätäseis-kytkimet), toteutus on normaalikäytäntöä, mutta vaatimus operaattorin saaman hälytyksen ja mahdollisen vaaratilanteen toteutumisen välisestä 1 tunnin varoajasta on ainakin typpihappotehtaan tyyppisissä laitoksissa mahdoton toteuttaa. Tästä syystä riskigraafeissa joudutaan useimmiten käyttämään suurempaan TE-tasoon johtavaa arvoa P B. 3.2 Suojaustoimintojen keskimääräisen epäkäytettävyyden arviointi Standardi edellyttää, että suunniteltujen suojaustoimintojen todennäköisyys olla vikaantuneita tarpeen ilmetessä (PFDavg) lasketaan ja verrataan suojaustoiminnolta vaaditun TET:n edellyttämään arvoon. TET 2:n tapauksessa vaatimus on, että kyseinen todennäköisyys on alle 1%. Standardin osa 6 sisältää laskentakaavoja ja taulukoita PFDavg:n määräämiselle erilaisilla tulosignaalien, logiikkaosan ja lähtösignaalien kytkennöillä riippuen määräaikaiskoestusvälistä ja keskimääräisestä vian korjaamisajasta. Laskentakaavojen ja taulukoiden käyttö edellyttää mm. keskimääräisen kokonaisvikatiheyden, vaarallisten vikojen tiheyden ja diagnostiikan kattavuuden määräämistä kaikille suojaustoimintoon sisältyville komponenteille. Näiden arvojen määrääminen vanhoille käyttöön jääville kenttälaitteille ei yleensä ole loppukäyttäjälle mahdollista eikä niitä yleensä ole valmistajiltakaan saatavissa. Tauto projektissa käytettiin kenttälaitteiden em. parametrien määräämiseen Sintefin julkaisusta Reliability Data for Control and Safety Systems, 1998 Edition löytyneitä vastaavalle laitetyypille
31.10.2002 9(10) annettuja arvoja. Vaihtoehtoisena lähteenä kokonaisvikatiheyksien arvioinnissa oli käytettävissä IEC:n sisäiseen suunnitteluohjeeseen koottuja IEC:n kokemusperäisesti keräämiä arvoja. Eräissä tapauksissa, kuten liitteen 5 riskiä vastaan suunnitellulle suojaustoiminnolle, standardin mallirakenteet eivät olleet suoraan sovellettavissa. Tämän johdosta PFDavg:n määräämisessä käytettiin liitteen 11 mukaista laskentaa. Yksinkertaisemmille toiminnoille PFDavg arvot laskettiin käyttäen Honeywell Safety Management Systems B.V.:ltä hankittua SafeCalc ohjelmaa. Esimerkkituloste laskentaruudusta on liitteenä 12. 3.3 Standardin rakenneratkaisujen toteutus Standardin tekstin mukaan 1oo2 rakenne sallii sen, että diagnostiikan paljastamasta vikaantumisesta yhdessä tulokanavassa annetaan vain hälytys, mutta suojaustoimintoa ei toteuteta. Tällä lisätään laitoksen käytettävyyttä. Tauto toteutuksessa todettiin kuitenkin, että 4-20 ma analogiamittauksissa anturivioiksi tunnistettujen (esim. signaali alle 3.8 ma tai yli 20.2 ma) vikojen osuus kaikista mahdollisista vioista on niin pieni, ettei kannata monimutkaistaa suojauslogiikkakaavioita anturivikojen erikoiskäsittelyllä. Mikäli käytäntö osoittaa, että laitoksen käytettävyys alenee liiaksi tehdyn ratkaisun johdosta, harkitaan tapauskohtaisesti mieluummin lisämittauksen hankintaa ja siirtymistä 2oo3 periaatteeseen kuin standardin mukaisen 1oo2 lohkon toteuttamista. Tauto - toteutuksessa siis suojaustoiminto toteutuu myös anturivikatilanteissa, poikkeuksena 2oo3 rakenteet. 3.4 Kokonaiskelpoistuksen (SAT) ja määräaikaiskoestusten toteutus Kokonaiskelpoistuksen suunnittelussa todettiin IEC-61508:n ohjeet melko monimutkaisiksi tulkita ja soveltaa. Tämän johdosta käytettiin tukena KLTK-Ohjetta 19.5.2000 Kattilalaitosten turvallisuuteen liittyvä automaatio. Testaussuunnitelma typpihappotehdas 1:n osalta on liitteenä 13. Testaussuunnitelmaa noudatettiin tarkasti varsinaisessa työssä, ja hyvin onnistuneen käynnistyksen jälkeen todettiin huolellisen testauksen olleen yksi hyvin tärkeä osatekijä onnistumisessa. Typpihappotehtaiden TLJ:ien määräaikaiskoestukset on tarkoitus tehdä vuosittaisissa seisakeissa. Suojaustoimintojen PFDavg arvojen määräämisessä pidettiin aluksi testausvälinä 12 kk. Toteutusvaiheessa todettiin kuitenkin, että tuotannollisista syistä johtuen voi aika edellisestä seisakista venyä aina 15 16 kk asti. Tämän johdosta käytiin suojaustoiminnot uudelleen läpi ja laskettiin PFDavg arvot myös 18 kk testausvälille. Tässä yhteydessä todettiin, että suunnitellut suojaustoiminnot täyttävät TET 2:n vaatimuksen (PFDavg alle 0.01) myös 18 kk testausvälillä. Olemassa olevan tehtaan turva-automaation toteutuksessa ei ole mahdollista kaikilta osin päästä siihen, että kaikki tulopiirit testataan anturilta toimilaitteelle. Toisaalta IEC 61508-7:n liite A, kohta A12 hyväksyy myös referenssimittauksen käytön suojauspiirin mittauksen toimivuuden tarkistamiseen. Määräaikaiskoestussuunnitelmaa laadittaessa on tämän perusteella lähdetty siitä, että kaikki toimilaitteet ja suojauspiirit koestetaan samassa laajuudessa kuin SAT:ssa, mutta mittauspiirien kohdalla hyödynnetään
31.10.2002 10(10) kokonaisautomaatiojärjestelmään sisältyvän PHD:n (Process History Data) keräämää tietoa ja verrataan kahden tai useamman samaa suuretta mittaavan anturin antamia arvoja toisiinsa. Mikäli erot mittauksissa säilyvät mittaukselle määritellyn toleranssin sisällä ja mittauksien trendit osoittavat signaalin elävän, mittaus todetaan toimivaksi. Muussa tapauksessa testaus suoritetaan samalla periaatteella kuin SAT:ssa. PHD on tällä hetkellä käyttöönottovaiheessa. Kun käyttöönotto on valmis, on tarkoitus tarkemmin paneutua sen tarjoamiin palveluihin ja määritellä yksityiskohtaisesti, mitä tietoja kerätään määräaikaiskoestusta varten ja miten signaalien vertailu tehokkaimmin voidaan toteuttaa.