Inspektionsrapport - tillämpning av processen för anläggningsändringar, fokus MTO

Transkript

1 TILLSYNSRAPPORT Process: Inspektera Vår referens: Tillståndshavare: Forsmarks Kraftgrupp AB Objekt: F1, F2, F3 Förrättningsdatum: till Arbetsgrupp: Yvonne Johansson KM, Mats Häggblom KD, Josephine Speziali, KM Författare: Josephine Speziali Samråd: Christer Karlsson KD Fastställd: Leif Karlsson ckd Inspektionsrapport - tillämpning av processen för anläggningsändringar, fokus MTO Sammanfattning Strålsäkerhetsmyndigheten (SSM) har tidigare utfört tillsynsinsatser på Forsmarks Kraftgrupp AB (FKA) och identifierat brister rörande kompetens och tillvaratagande av erfarenheter vid anläggningsändringar med fokus Människa-Teknik-Organisation (MTO). SSM genomförde april 2011 en inspektion vid FKA avseende tillämpningen av processen för anläggningsändringar med påverkan på MTO. SSM ser positivt på att FKA sedan tidigare inspektioner arbetat med området och ökat engagemanget i frågan. SSM ser även positivt på att FKA identifierat områden som kan förbättras och har planer för att utföra dessa förbättringar. SSM noterar brister i uppfyllnaden av kraven inom området anläggningsändringar med påverkan på MTO. Dessa rör tillämpningen av ledningssystemet, ansvarsförhållanden, kompetens och säkerhetsgranskningsfunktionen. SSM noterar även en brist som gäller generellt inom området anläggningsändringar och rör kravet på tillvaratagande av erfarenheter. SSM ser att ledningssystemet till stor del ger förutsättningar för att uppfylla kraven men att arbete kvarstår innan det tillämpas fullt ut. FKA behöver värdera de brister och påpekanden som finns i denna rapport och ta fram ett åtgärdsprogram för att hantera dessa. FKA behöver även värdera om de brister som identifierats i exempelprojekten även finns i andra (genomförda och pågående) projekt och om så är fallet åtgärda dem. Strålsäkerhetsmyndigheten Swedish Radiation Safety Authority SE Stockholm Tel: E-post: registrator@ssm.se Solna strandväg 96 Fax: Webb: stralsakerhetsmyndigheten

2 Sida 2 (22) Bakgrund 2007 och 2008 genomförde Strålsäkerhetsmyndigheten (SSM) tillsynsinsatser på Forsmarks Kraftgrupp AB (FKA) avseende anläggningsändringsprocessen med fokus Människa-Teknik-Organisation (MTO). Tillsynsinsatserna resulterade i två förelägganden rörande kompetens och erfarenhetsåterföring. I det första föreläggandet [1], ett resultat av inspektionen 2007 [2], förelades FKA att inom området processen för anläggningsändringar med påverkan på kontrollrummet: - Komplettera de kompetens- och bemanningsplaner som avses enligt 2 kap 9 punkten SKIFS 2004:1, med uppgifter som identifierar bemanningsbehoven och kompetenskraven inom området människa-teknik-organisation (MTO) och inriktat på att beställa, värdera och genomföra anläggsändringar som har påverkan på kontrollrum såväl i nuläget som på lång sikt. - i enlighet med 2 kap 9 punkten 7 SKIFS 2004:1, komplettera rutinerna för fortlöpande erfarenhetsåterföring på ett sådant sätt att det tydligt framgår hur Forsmarks Kraftgrupp AB omhändertar och värderar erfarenheter vid anläggningsändringar med påverkan på kontrollrummet, dels inom den egna verksamheten, dels från andra kärnkraftverk i Sverige och i andra länder. SSM:s granskning [3] av FKA:s svar på föreläggandet visade att FKA uppfyllde föreläggandet men att de redovisade åtgärderna skulle följas upp. Vid den uppföljande inspektionen [4] som genomfördes våren 2008 konstaterades att det fortfarande fanns brister på området. Detta resulterade i ett föreläggande med vite [5]: FKA ska för funktioner inom bolaget som är inriktade på att beställa, värdera och genomföra anläggningsändringar med påverkan på organisation, utformning och funktion av kontrollrum: - identifiera och fastställa kompetenskrav för personer som ska arbeta i dessa funktioner - fastställa befattningskriterier för att möta de identifierade kompetenskraven - identifiera och dokumentera bemanningsbehovet på kort (1-3 år) och längre sikt (3-10 år) Under våren 2009 granskade SSM FKA:s svar på det nya föreläggandet och konstaterade att FKA fastställt kompetenskrav, befattningskriterier och identifierat bemanningsbehov på kort och lång sikt [6]. FKA bedömdes därmed uppfylla föreläggandet.

3 Sida 3 (22) En inspektion rörande kompetenssäkringssystem vid stora projekt [7] som utfördes hösten 2010 identifierade att FKA behövde värdera: om överväganden motsvarande de i TIGER-processen behöver göras även för andra förändringar (än stora kontrollrumsändringar) Syfte Syftet med inspektionen var att göra en bedömning av hur FKA uppfyller kraven på ett aktuellt ledningssystem i SSMFS 2008:1, med avseende på anläggningsändringar med påverkan på MTO och då främst kontrollrum. SSM ville också bedöma i vilken utsträckning FKA tillämpar detta ledningssystem för att uppfylla de krav som ställs på utformning av kontrollrum i SSMFS 2008:1 och 2008:17. Inspektionen syftade även till att följa upp framdriften i de åtgärder FKA vidtagit till följd av SSM:s tidigare förelägganden [1][4]. SSM vill dessutom vara pådrivande i FKA:s säkerhetsarbete. Metod inklusive avgränsningar Ett förmöte hölls där FKA presenterade sin MTO-verksamhet vid anläggningsändringar. Intervjuer genomfördes på plats på FKA till personer involverade i processen för anläggningsändringar med påverkan på kontrollrum intervjuades. Bland de intervjuades ansvarsområden fanns; kompetenssäkring, planering, MTO-frågor vid anläggningsändringar, beställning, fristående säkerhetsgranskning och internrevision. För att få slutanvändarnas (operatörernas) perspektiv på processen intervjuades en operatör, dessutom besöktes FKA:s kontrollrum där närvarande operatörer tillfrågades om nyligen införda och kommande anläggningsändringar. Intervjuerna utfördes med utgångspunkt i ledningssystem och ett på förhand utvalt projekt, Förnyelsen av ställverk FT46 [8]-[16]. I vissa intervjuer användes andra projekt med påverkan på kontrollrummet som utgångspunkt, bland dessa återfinns; Autobor (351) [13][14], Omstrukturering i pulpet PB7 [17][18], Framåtpumpning av högtrycksdränage [13][14], 411-ombyggnation [13][14], F12 Förnyelse av ställverk ÄT66 [19][20] och F12 reservövervakningsplats [21][22][23].

4 Sida 4 (22) Ovan refererad dokumentation granskades översiktligt. Dessutom granskades dokumentation av; ledningssystemet [24]-[30], kompetens rörande MTO [31]-[35] genomförda internrevisioner [36]-[38] och granskningskommentarer rörande FT46 [39][40]. Avgränsningar Inspektionen har fokuserat på tillämpningen av ledningssystemet. De delar av inspektionen som berört säkerhetsgranskning har fokuserat på den fristående säkerhetsgranskningen och berör endast i liten utsträckning den primära säkerhetsgranskningen. Då det projekt som valts som exempel har utförts på F12 har fokus också varit på F12. Inspektionen har dock strävat efter att i så stor utsträckning som möjligt även täcka in F3. Nedan redovisade observationer och slutsatser gäller, när inget annat anges, så väl F12 som F3. Krav SSM ställer i sina föreskrifter krav på att tillståndshavaren ska ha ett aktuellt och dokumenterat ledningssystem vars tillämpning ska undersökas av en revisionsfunktion. Vidare ställer SSM krav på att anläggningens konstruktion ska vara anpassad till personalens förmåga. SSM ställer också krav på bl.a. ansvar, befogenheter, samarbetsförhållanden, kompetens, tillvaratagande av erfarenheter och säkerhetsgranskning. Följande krav har tillämpats vid inspektionen: SSMFS 2008:1 2 kap. 8 Ledningssystem 9 punkt 2 Ansvar, befogenheter och samarbetsförhållanden 9 punkt 5 Kompetens 9 punkt 7 Tillvaratagande av erfarenheter 3 kap. 3 Anpassning av konstruktion till personalens förmåga 4 kap. 3 Säkerhetsgranskning 5 Säkerhetsgranskning av anläggningsändringar SSMFS 2008:17 18 Centralt kontrollrum

5 Sida 5 (22) Observationer och bedömningar SSM blev väl mottagna under inspektionen. Samtliga involverade var behjälpliga i att svara på de frågor SSM behövde svar på och tog vid behov fram kompletterande information. En generell observation är att SSM, jämfört med tidigare inspektioner, ser en positiv förändring i attityden och förståelsen kring området. De intervjuade visar förståelse för varför MTOfrågor är viktiga och identifierar områden med förbättringspotential. Nedan presenteras ett urval av de övriga observationer som gjordes under inspektionen och förmötet. De har i huvudsak sorterats in under det/de krav de berör. MTO vid anläggningsändringar Beskrivning av ledningssystemet Enligt en referensrapport till SAR Allmän del kapitel 4.3 [41] omhändertas SSM:s krav på att konstruktionen ska vara anpassad till personalens förmåga (SSMFS 2008:1, 3 kap. 3 ) genom att tillämpa instruktionen F1, F2, F3 Tillvägagångssätt vid specificering och granskning av ny ergonomidesign [24] (TIGER). I samma rapport nämns att instruktionen är baserad på bl.a. NUREG 0700:2 och NUREG TIGER-instruktionens fokus är MMIfrågor. Processen anges gälla såväl centrala som lokala kontrollrum och manöverplatser [24]. TIGER-arbetet består av fem steg: 1. Omfattningsbeskrivning av TIGER 2. Nulägesbeskrivning inklusive MMI-specifikation 3. Specificering och granskning av MMI-utformning 4. Verifiering av MMI 5. Validering av MMI. Förprojektering Förnyelseprocessen Inventering Prioritering Initiering Projektering Införande Avslut TIGERprocessen Initiering och bestämning av omfattning Granskning av MMIutformning Nulägesbeskrivning och MMIspecifikation Verifiering av MMI Validering av MMI Utförs av projektorganisationen Utförs av beställarorganisationen Figur 1. Förnyelseprocessen och TIGER-processen i förhållande till varandra, enligt SSM:s uppfattning I TIGER-instruktionen [24] beskrivs översiktligt hur TIGER och förnyelseprocessen hänger samman. Utifrån denna beskrivning och

6 Sida 6 (22) genomförda intervjuer uppfattar SSM att de två processerna interagerar med varandra enligt figur 1. Beställande enhet (normalt F12C eller F3C) inventerar och prioriterar förnyelseåtgärder för att sedan initiera anläggningsändringar som specificeras i en anläggningsändringsspecifikation [26]. Enligt mallen för anläggningsändringsspecifikation (Bilaga 2 till [25]) ska en MMIspecifikation bifogas anläggningsändringsspecifikationen. I mallen nämns kortfattat att en MMI-specifikation ska tas fram och vad den ska innehålla. I anläggningsändringsspecifikationen [27] och i beställarinstruktionen [25] finns ingen referens till TIGER. Berör ändringen operatörer? Op Ja KR Berör ändringen CKR eller LKR? Ja Ja MMI Görs förändring: - i befintligt MMI? - enligt befintliga principer? Nej Nej Nej INFO Nej Auto Nej AU Innebär förändringen en påvisbar förändring av: - informationsmängd? - presentationssätt? Ja Innebär förändringen en påvisbar förändring av: - automatiseringsgrad? - funktion? Ja Innebär förändringen nya arbetsuppgifter för operatörerna eller en påvisbar förändring av nuvarande arbetsuppgifter? Ja T I G E R Nej Ingen TIGER Anläggningsändringen innebär ändring: - i befinligt MMI - enligt befinliga principer Anläggningsändringen innebär liten eller ingen påverkan på: - informationsmängd - informationspresentation - automatiseringsgrad - operatörens arbetssätt och arbetsuppgifter Figur 2. Kritierier för initiering av TIGER (sid. 27 [24]) I TIGER-instruktionen finns bl.a. ett beslutsträd (Figur 2) som hjälpmedel för att avgöra när TIGER ska initieras. För att TIGER ska initieras krävs

7 Sida 7 (22) påvisbara förändringar i exempelvis informationsmängd, presentationssätt, automatiseringsgrad och/eller funktion. Eller att förändringen innebär nya arbetsuppgifter eller påvisbar förändring av nuvarande arbetsuppgifter. Definitioner av vad som anses vara påvisbar förändring av informationsmängd, informationens presentationssätt samt automatiseringsgrad och funktion återfinns i ett annat avsnitt av TIGERinstruktionen. Avsnittet innehåller även vägledande exempel. Ändringens säkerhetspåverkan är inte en faktor i beslutsträdet men används senare i processen för att bestämma omfattningen på arbetet. Om TIGER-arbetet initieras tillsätts en arbetsgrupp, TIGER-grupp, som leds av TIGER-samordnaren. I gruppen finns användarna representerade i form av minst två operatörer och i vissa fall även underhållspersonal. Även beställare och FT:s MMI-expert finns representerade. Vid behov kan gruppen kompletteras ytterligare. Enligt TIGER-instruktionen levererar TIGER-gruppen nulägesbeskrivning och MMI-specifikation till projektet. Enligt instruktionen kopplas TIGER in igen först när definitiv systemkonstruktion föreligger. TIGER kopplas då in för att granska MMI-utformningen. Konstruktören kan vid behov utnyttja TIGER-gruppen för att ta fram och förankra en konstruktion. Enligt beställarinstruktionen [25] ansvarar sedan projektet för verifiering av att MMI-lösningarna svarar mot de konstruktionsstyrande reglerna. Verifiering och validering av att MMI-lösningarna uppfyller driftorganisationens krav med hänsyn till arbetsuppgifter genomförs av FXD, med stöd av FTE. Enligt TIGER-instruktionen tar beställarrepresentanten ställning till hur resultaten ska hanteras och vilka åtgärder som ska vidtas. För att säkerställa att de ändringar som utförs i ett projekt bibehåller/ökar enhetligheten i det centrala kontrollrummet finns bl.a. kontrollrumsfilosofier för F12 [42] och F3 [43] samt målbild för F3:s kontrollrum [44]. Dessa dokument beskriver övergripande önskade egenskaper hos kontrollrummet och hur man ska arbeta i det. Tillämpning av ledningssystemet FKA har i intervjuer och med dokumentation exemplifierat hur TIGER använts i projekt Förnyelsen av ställverk FT46 [8]-[16]. I projektet har samtliga fem steg i TIGER utförts och dokumenterats. Nedan presenteras de observationer SSM gjort utifrån granskning av dokumentation och genomförda intervjuer. Observationerna har av läsbarhetsskäl delats in i ett antal underrubriker.

8 Sida 8 (22) Initiering av TIGER Initieringen av TIGER pekas i intervjuer ut som den största fallgropen i processen. Problemet ligger i att man helt missar att initiera processen eller initierar den för sent. FKA har identifierat detta och för att få initieringen att fungera arbetar FKA med framtagande av en ny instruktion. FKA planerar också att göra det obligatoriskt att dokumentera beslutet om att tillämpa/inte tillämpa TIGER. Den pågående utbildningen av bl.a. beställare (se även stycket nedan ang. kompetens) uppges också vara ett steg för att säkerställa att TIGER initieras när det behövs. De intervjuade nämner även att införandet av HMI-samordnare (en på F12C och en på F3D) varit ett stort lyft för möjligheten att i rätt tid initiera TIGER. Som ett exempel på när TIGER initierats och tillämpats nämns FT46 [8]- [16]. Som exempel på när detta inte fungerat nämns F3 Förnyelse av ställverk ÄT66. SSM ser fler exempel på när initieringen, och därmed tillämpningen av TIGER inte fungerat fullt ut: I projekt F12 ny reservövervakningsplats har TIGER inte tillämpats med hänvisning till att [ ] ändamålsenligheten kommer att verifieras och valideras med samma intention som Tiger processen. [21]. Beslut att inte tillämpa TIGER-processen har dokumenterats [22] efter det att ändringen anmälts till SSM [23]. I beslutet anges att ändringen endast innebär liten/ringa förändring av operatörens arbetssätt och MMI samt att ändringen innebär liten eller ingen påverkan på: -informationsmängd, -informationspresentation, - automatiseringsgrad, -operatörens arbetssätt och arbetsuppgifter. Vid inspektionen nämndes tidsbrist som det egentliga skälet till att TIGER inte tillämpats. I projekt TU12, som omfattar bl.a. framåtpumpning av högtrycksdränage, har TIGER inte tillämpats (den information SSM fått gällande detta går dock isär). Visst MMI-arbete har utförts [45][46]. För att kompensera för att TIGER inte tillämpats i detta projekt utökades valideringen av FT46 [13][14] till att även omfatta framåtpumpningen av högtrycksdränage. Projekt Autobor (351) och projekt 411-ombyggnation har inte drivits enligt TIGER men då de bedömts påverka operatörsmiljön utökades valideringen av FT46 [13][14] till att omfatta även dessa projekt. Vid intervjuer och i dokumentation kan SSM notera att FKA i vissa fall där TIGER inte initieras säger sig arbeta i TIGER-anda. Skalbarhet TIGER-instruktionen medger anpassning av omfattningen på TIGER-arbetet och tillhandahåller visst stöd för hur detta görs. Vid intervjuerna framkom att detta görs genom expertbedömning men några exempel på hur denna

9 Sida 9 (22) expertbedömning går till eller vilka kriterier den utgår ifrån gavs ej. Vid intervjuerna framkom inte hur det stöd TIGER-instruktionen tillhandahåller används i praktiken. Iteration och samarbete Förnyelseprocessen och TIGER framhålls i intervjuerna som parallella spår som interagerar. FKA har exemplifierat att så är fallet genom att beskriva och redovisa dokumentation från FT46. Möjligheten att använda TIGER-gruppen för att i konstruktionsfasen iterera lösningar mellan konstruktör, TIGER-grupp och operatörer används enligt de intervjuade. Samarbetet mellan TIGER-gruppen och konstruktörer framhålls i samtliga intervjuer som positivt, välfungerande och väldigt viktigt. Den produkt som åstadkoms upplevs vara en gemensam produkt som TIGER-grupp och projekt tagit fram tillsammans. Hantering av avvikelser från krav och förändringar i krav De krav som tas fram till MMI-specifikationen förändras (av olika skäl) under iterationen av lösningen. Detta dokumenteras enligt intervjuerna i vissa fall i mötesprotokoll, e-post eller uppdaterade versioner av MMIspecifikationen. I andra fall dokumenteras det enligt intervjuerna inte alls. Hur resultatet av validerings och verifieringsrapporter ska hanteras bestäms enligt TIGER-processen av beställaren. I FT46 hanterades valideringsresultatet i FT46 genom att ett möte bestående av bl.a. TIGERsamordnare och representanter från beställare, projekt och konstruktörer diskuterade och redigerade ett utkast av valideringsrapporten [14]. Redigeringen bestod bl.a. i att de frågeställningar som hanterats efter valideringen, men innan rapportens fastställande, togs bort ur rapporten. Mötet eller dess resultat finns inte dokumenterat. I FT46 fastställdes den tekniska avlämningen [15] medan verifieringsrapporten [12] och valideringsrapporten [14] fastställdes För att sammanställa utestående frågor och avvikelser i CKR för F1 och F2 har en Att göra-lista [16] tagits fram. I dagsläget innehåller den kvarstående frågor från tidigare nämnda validering och från valideringen av förändringarna i PB7. För varje fråga finns en notering om huruvida de kan, bör eller ska åtgärdas. Någon tidssättning för åtgärderna finns inte. Enligt SAR är TIGER baserad på NUREG Där nämns HFE Issues Tracking som ett systematisk och spårbart sätt för att hantera de MTO-frågor och MTO-problem som uppkommer under ett projekts gång och en anläggnings livstid. FKA har inte visat något sådant system. FKA:s bedömning av kvaliteten i TIGER-arbetet FKA uppger att det TIGER-arbete som utförts i FT46 har skett med god kvalitet och refererar till det som ett kvitto på att den införda ändringen är

10 Sida 10 (22) tillräckligt hanterad ur ett MTO-perspektiv. Som stöd för detta hänvisas till dokumentation rörande projektet [8][9][10][11][12][13][14]. Vid genomgång av dokumentationen noterade SSM bl.a. att arbetsuppgiftsanalyserna var kortfattat beskrivna [9], att en beskrivning av de scenarier som användes vid valideringen saknades [13] och att hanteringen av resultatet från valideringen var otydlig avseende hantering av acceptanskriterier och åtgärder [14]. Vid inspektionen ställde SSM frågor om ovanstående exempel och noterade att dessa inte uppmärksammats av FKA. I FT46 har verifierings- och valideringsaktiviteterna samordnats och utförts av en annan person än den som gjort de inledande analyserna. Detta skedde i FT46 p.g.a. personalomsättning i ett projekt som sträcker sig över lång tid. Effekten av detta framhålls från beställarsidan som något positivt; som en form av oberoende verifiering och validering. Underhållsfrågor, lokala kontrollrum och MTO Så som TIGER beskrivs och tillämpas av de intervjuade fokuserar den främst på MMI-frågor i de centrala kontrollrummen. Instruktionen medger annan tillämpning, så som exempelvis underhållsfrågor och förändringar i lokala kontrollrum. I några intervjuer nämns avsaknaden på MTO-aspekter vid ändringar med påverkan på underhållsarbetet som ett identifierat område som ännu inte hanteras enligt TIGER processen. Helhetsgrepp En del av de intervjuade anser att det finns utrymme för förbättring när det gäller att i enskilda projekt ta ett helhetsgrepp på kontrollrummet och hur den enskilda ändringen påverkar helheten. Att göra detta, tidigt i projektet, är enligt intervjuerna lätt att missa. I andra intervjuer framhålls vikten av att jobba i grupp och göra ett gemensamt arbete som präglas av ifrågasättande och att operatörerna hela tiden involveras i arbetet. Något som enligt intervjuerna sker i de projekt där TIGER tillämpas. Att tillämpa och uppdatera målbilder för det centrala kontrollrummet uppges vara ett verktyg för att åstadkomma ett helhetsperspektiv. SSM:s bedömning I detta stycke bedöms det ledningssystem som FKA har för att uppfylla kravet på att anläggningens konstruktion ska vara anpassad till personalens förmåga (SSMFS 2008:1, 3. kap. 3 ) och kravet rörande det centrala kontrollrummet (SSMFS 2008:17 18 ). Krav rörande ledningssystem finns i SSMFS 2008:1, 2 kap. 8. FKA har redovisat de delar av ledningssystemet som ska uppfylla ovan nämnda krav. SSM kan konstatera att dessa delar är kända hos de

11 Sida 11 (22) intervjuade. De dokument som innehåller en beskrivning av ledningssystemet innehåller mindre skillnader och behöver i viss mån ensas. Under inspektionen har FKA gett exempel på att kompetens inom området MTO engageras för medverkan i analyser samt utformning och utvärdering av de lösningar projekten tar fram. SSM ser positivt på att samtliga intervjuade visar engagemang rörande dessa frågor och att de poängterar vikten av att MTO-kompetens involveras tidigt i projekt. SSM ser också positivt på att FKA identifierat vikten av ett iterativt arbete där operatörerna involveras under framtagandet av gränssnittslösning. SSM har under inspektionen inte kunnat se hur TIGER säkerställer att konstruktionen anpassas till personalens förmåga ur ett vidare perspektiv än utformning av bildskärmar, manöverpulpeter och manöverpaneler. SSM har heller inte kunnat se hur tillämpningen av TIGER säkerställer anpassning till andra användare än kontrollrumsoperatörer (så som underhållspersonal, stationstekniker etc.). I TIGER-instruktionen finns kriterier för när TIGER ska initieras. SSM konstaterar att initieringen av TIGER i vissa fall uteblir eller sker sent. SSM ser också tecken på att kriterierna tillämpas på ett sådant sätt att det blir enkelt att frångå TIGER. SSM ser hanteringen av F12 Reservövervakningsplats som ett tydligt exempel på detta. En helt ny reservövervakningsplats med nytt gränssnitt medför så stor påverkan på bl.a. arbetssätt, arbetsuppgifter, MMI, informationsmängd och informationspresentation att MTO-frågor ska analyseras och hanteras. Ändå används formuleringar från beslutsträdet (Figur 2) för att hävda det motsatta. Att TIGER-instruktionen ibland tillämpas och att arbetet ibland istället utförs i TIGER-anda är ett tecken på att TIGER-instruktionens stöd för anpassning av omfattningen inte är tillräckligt användbar eller att kompetens att tillämpa den saknas. I avsnittet om FKA:s bedömning av kvaliteten i TIGER-arbetet (sid. 9) beskrivs ett antal brister i TIGER-arbetet i FT46 (bl.a. avsaknaden av beskrivning av vilka scenarier som använts i valideringen och otydlig hantering av acceptanskriterier). Om dessa kvalitetsbrister enbart rör dokumentationen eller även det utförda arbetet går utifrån den information SSM tagit del av inte att bedöma. Det går därför heller inte att bedöma kvaliteten på själva förändringen utifrån dokumentationen. I SSMFS 2008:1, 3 kap. 3 anges att konstruktionen ska vara anpassad till personalens förmåga att på ett säkert sätt kunna övervaka och hantera anläggningen. En del i att uppnå detta är att bedöma konsekvensen av möjliga felhandlingar för att eliminera/minska risken för de felhandlingar som har negativ påverkan på reaktorsäkerheten. En annan del är att på ett korrekt sätt verifiera och validera att den valda lösningen är och fungerar så

12 Sida 12 (22) som avsett. SSM kan konstatera att det i exempelprojektet inte utförts någon felhandlingsanalys (eller motsvarande) och det går därför inte att se att hänsyn tagits till huruvida en eventuell felhandling kan ha påverkan på säkerheten. SSM förväntar sig att FKA har en systematik och spårbarhet i sin hantering av MTO-frågor och MTO-problem som uppkommer under ett projekts gång (och en anläggnings livstid). FKA saknar ett systematisk och spårbart sätt för detta. Den att göra-lista [16] som skapats i samband med FT46 fyller i viss mån detta syfte, men omfattar inte hanteringen av MTO-frågor under projektets gång. SSM ser positivt på att verifiering och validering av FT46 i praktiken letts av en person som inte varit inblandad i tidigare TIGER-arbete. Detta gör att verifierings och valideringsarbetet blir mer fristående från konstruktionsprocessen än det annars blir. I valt exempel kan SSM inte se att resultatet av verifiering och validering varit en del i bedömningen av om ändringen kan tas i drift eller ej. Detta medför att det inte är spårbart huruvida FKA förvissat sig om att ändringen var anpassad till personalens förmåga innan den driftsattes. För det exempel SSM tagit del av gör SSM bedömningen att FKA i sin tillämpning av ledningssystemet för att ta hänsyn till MTO-frågor vid anläggningsändringar endast delvis uppfyllt SSM:s krav. Exemplet kan, utifrån den information SSM tagit del av, anses vara representativt för hur ledningssystemet gällande ändringsverksamheten vid FKA tillämpas. SSM bedömer därför att FKA i sin tillämpning av ledningssystemet för att ta hänsyn till MTO-frågor vid anläggningsändringar endast delvis uppfyller SSM:s krav. Ansvar Ett flertal olika ansvarsformer rörande MTO-frågor förekommer; produktionsansvar, funktionsansvar, verksamhetsansvar och fackansvar. De olika ansvarsformerna beskrivs i FKA:s Lednings och kvalitetshandbok (LOK). SSM noterar att det är oklart för flertalet av de intervjuade vad dessa ansvar innebär i praktiken och hur de hänger samman. Detta gäller såväl det egna som andras ansvar. När det gäller fackansvaret för ergonomi var det för de intervjuade oklart vad det innebär och hur/om det avspeglas i gruppens kompetensprofil. TIGER-processen ägs enligt intervjuerna av driftsorganisationen medan förnyelseprocessen ägs av projektorganisationen. Den beställande enheten, som är en del av driftorganisationen, kan genom att ställa krav på projekt och slutresultat se till att de båda processerna används tillsammans.

13 Sida 13 (22) SSM:s bedömning Krav rörande ansvar, befogenheter och samarbetsförhållanden finns i SSMFS 2008:1, 2 kap. 9, punkt 2. SSM kan konstatera att ansvar, befogenheter och samarbetsförhållanden rörande MTO vid anläggningsändringar finns definierade och dokumenterade. Dessa bör enligt de allmänna råden vara väl kända av personalen. När det gäller ansvar inom området MTO vid anläggningsändringar kunde SSM vid inspektionen konstatera att det egna och andras ansvar är oklart för flertalet av de intervjuade. Ansvaret kan därför inte anses vara väl känt av personalen. SSM bedömer därför att FKA inte fullt ut uppfyller kravet rörande ansvar, befogenheter och samarbetsförhållanden inom området anläggningsändringar med påverkan på MTO. Kompetens Som ett resultat av SSM:s tidigare föreläggande [5] har FKA identifierat och fastställt kompetenskrav och befattningskriterier för de funktioner som verkar inom anläggningsändringsprocessens påverkan på kontrollrumsutformning [32]. Dessa är enligt FKA: beställarrepresentant - AU-ingenjör, TIGER-samordnare - HMI-koordinator och elkonstruktörer med arbete inom kontrollrumsdesign. Kompetenskraven är satta på en 7- gradig kvalifikationsskala (från 0: Ingen kompetens till 6: Excellent/expert ). Som en del i hanteringen av föreläggandet utfördes under våren 2009 utbildningar inom MTO. Då FKA inte var nöjda med dessa utbildningar har FKA under senhösten 2010 anlitat en extern konsultfirma för att ta fram utbildningar. Syftet med utbildningarna är, enligt målanalysen [31], att öka kompetensen kring MTO, MMI och erfarenhetsåterföring. Utbildningarna bygger på varandra och följer två olika spår (Figur 3). Det ena spåret berör grundorsaksanalyser och det andra spåret berör MMI-utformning. Båda dessa spår inleds med en gemensam utbildning (Nivå 1). Nivå 2: MMI och Nivå 3: Grundorsak är ännu under framtagande. Nivå 3: Grundorsak (2 dagar) Nivå 2: Grundorsak (2 dagar) Nivå 2: MMI (2 dagar) Nivå 1 (2 dagar) Figur 3. Översikt över de fyra utbildningar som FKA tagit fram/tar fram

14 Sida 14 (22) Tabell 1 visar vilken kvalifikationsnivå de olika utbildningarna ger [31] och hur detta förhåller sig till de kompetenskrav som FKA identifierat [32]. Tabell 1. Kvalifikationssnivåer i förhållande till utbildning och krav Kompetensområde[31] Utbildning enligt målanalys [31] Kvalifikation som uppnås genom utbildningen [31] Krav på kvalifikation [32] MTO för beställare Nivå MTO för konstruktör Nivå MTO för konstruktör Nivå 1+ Nivå 2: MMI 4 4 MTO för HMI koordinator Nivå 1 + Nivå 2: MMI 4 5 Tabell 2 visar antalet personer som enligt FKA ska gå de olika kurserna och antalet personer som vid inspektionstillfället hade gått kurserna. Bland de som deltagit/planeras delta i kurserna återfinns bl.a. beställare, handläggare, FSG-funktionen och konstruktörer. Projektledare och inhyrd personal är inte planerade att delta i utbildningen. Tabell 2. Utbildning i MTO, MMI och erfarenhetsåterföring Kurs Antal personer som enl. FKA ska gå kursen Antal personer som vid inspektionstillfället ( ) gått kursen Nivå Nivå 2: MMI 13 0 Nivå 2: Grundorsak ej redovisat 7 Nivå 3: Grundorsak ej redovisat 0 Enligt intervjuerna har Nivå 1-kursen, vid de tillfällen den genomförts, fått ett gott betyg och tagits väl emot av de som gått kursen. I väntan på ovanstående utbildningar beställde och genomförde FQS en utbildning i TIGER. Den MTO-kompetens som finns på FTQ används i dagsläget inte i förnyelseprocessen men enligt de intervjuade finns planer på detta.

15 Sida 15 (22) SSM:s bedömning Krav rörande kompetens finns i SSMFS 2008:1, 2 kap. 9 punkt 5. Vid anläggningsändringar bör tillräcklig kompetens finnas för att beställa, leda, utföra och värdera det arbete som utförs och har betydelse för säkerheten. De krav FKA har på MTO-kompetens omfattar funktioner som utför och beställer arbetet. Två viktiga funktioner när det gäller att leda och värdera arbetet är projektledare och säkerhetsgranskare, dessa omfattas inte av FKA:s kompetenskrav rörande MTO. Funktioner som beställer, utför och värderar resultatet finns representerade i FKA:s förteckning över funktioner som planeras gå/har gått de utbildningar FKA tagit fram rörande MTO. Ledande funktioner i form av projektledare och delprojektledare omfattas inte av utbildningsplanerna. Inte heller inhyrd personal omfattas. FKA har redovisat planerade och pågående åtgärder för att höja kompetensen gällande MTO/MMI-frågor i organisationen. SSM bedömer att den planerade utbildningen har förutsättningar för att öka förståelsen för området inom organisationen. SSM konstaterar dock att det ca fyra år efter det första föreläggandet [1] endast är knappt 30 procent av de personer FKA anser bör gå Nivå 1 kursen som gått kursen. Den kurs som kan anses fokusera på anläggningsändringsprocessen (Nivå 2: MMI) är ännu inte framtagen. SSM bedömer att arbetet med att säkerställa kompetensnivån ännu inte uppnått de förväntade nivån. SSM har noterat ett antal kvalitetsbrister i exempelprojekten (se första stycket i avsnittet rörande FKA:s bedömning av kvaliteten i TIGER-arbetet, sid. 9). Förekomsten av sådana kvalitetsbrister, tillsammans med att FKA inte själva identifierat dem tyder på att kvalificerad kunskap (om bl.a. metoder) inom området saknas eller inte används. Detta gör att FKA (vid såväl beställning, genomförande och säkerhetsgranskning) inte har tillräcklig förmåga att bedöma kvaliteten på det arbete som genomförs. SSM ser även en risk i att FKA därmed inte kan ge inhyrd personal som utför TIGERarbete de förutsättningar som krävs för att de ska kunna utföra ett fullgott arbete. SSM ser inte att den planerade utbildningen på två dagar (Nivå 2: MMI) är tillräcklig för att åtgärda denna kompetensbrist. SSM bedömer med hänvisning till ovanstående att FKA endast delvis uppfyller kravet på kompetens inom området för anläggningsändringar med påverkan på MTO. Erfarenhetsåterföring Vid intervjuerna lyfter majoriteten av de intervjuade erfarenhetsåterföring i samband med förnyelseprocessen som ett eftersatt område. Detta gäller såväl

16 Sida 16 (22) interna som externa erfarenheter, rörande såväl förnyelseprocessen som själva slutprodukten. Vid den tekniska avlämningen kan beställaren, om denne ser skäl till detta, begära att en erfarenhetsrapport skrivs. Även projektkontorets chef kan begära att en erfarenhetsrapport tas fram. SSM har under inspektionen tagit del av exempel på erfarenhetsrapporter från förnyelseprojekt [47][48]. De intervjuade uppger dock att framtagandet av erfarenhetsrapporter ofta uteblir. Att ta del av tidigare erfarenhetsrapporter vid uppstart av nya projekt är enligt intervjuerna inte etablerad praxis. Ett sätt att ta tillvara erfarenheter som praktiseras på FKA är att låta en projektdeltagare delta i flera liknande projekt. FKA:s system för hantering av erfarenheter (ErFKA) används enligt intervjuerna framförallt för att inrapportera och hantera händelser, men inte som en källa till erfarenheter vid förnyelseprojekt. Erfarenheter av den typ som rapporteras i erfarenhetsrapporter från genomförda projekt förs enligt intervjuerna inte rutinmässigt in i ErFKA. Vid den pågående uppdateringen av TIGER-instruktionen har erfarenheter främst samlats in inom det konsultföretag som utför uppdateringen. Erfarenheter från andra håll har samlats in via HMI-koordinatorerna. En av HMI-samordnarna deltar aktivt i The Halden Reactor Project (HRP) samt i HAMBO som initierats av HPR-medlemmar i Norden och fokuserar på tillämpning av forskningsresultat. Detta arbete bidrar med erfarenheter gällande utformning av gränssnitt. SSM:s bedömning Krav rörande erfarenhetsåterföring finns i SSMFS 2008:1, 2 kap. 9 punkt 7. SSM konstaterar att det finns rutiner för att omhänderta interna och externa erfarenheter gällande anläggningsändringar med påverkan på kontrollrum. SSM konstaterar också att dessa inte tillämpas i tillräcklig utsträckning. SSM bedömer därför att kravet gällande tillvaratagande av erfarenheter inte fullt ut uppfylls vid anläggningsändringar. SSM noterar att de åtgärder som FKA vidtagit inom området som ett resultat av internrevisionen rörande förnyelseprocessen [38] och tidigare förelägganden inte varit tillräckliga för att nå önskat resultat.

17 Sida 17 (22) Revisionsfunktion Enligt ledningssystemet utför FKA minst var fjärde år granskning av verksamheter som kan påverka reaktorsäkerheten. När en verksamhet granskas ska en uppföljning av tidigare granskningar ske. Eventuella åtgärder som ska vidtas efter en granskning, tas fram av den berörda organisationen. I de fall en åtgärd inte utförts inom utsatt tid ska detta tas upp vid ledningens genomgång. Om åtgärden drar ut på tiden i mer än sex månader ska frågan hanteras av VD eller cfq. Enligt cfqa har FKA de senaste två månaderna inte haft några försenade åtgärder. FKA presenterade under inspektionens förmöte tre internrevisioner med bäring på förnyelseprocessen ur ett MTO-perspektiv [36]-[38]. Vid dessa internrevisioner har FQA inte hittat något som påvisar stora brister inom området. Vid en internrevision rörande förnyelseprocessen [38] från våren 2008 noteras att erfarenhetsåterföringsrapporter sällan skrivs och att instruktionen behöver förtydligas. Enligt internrevisionen har förslag till revidering av instruktionen antagits. SSM:s bedömning Krav rörande revisionsfunktionen finns i SSMFS 2008:1, 2 kap. 8. SSM har under inspektionen tittat på en begränsad del av internrevisionsverksamheten och noterar att FKA inte valt att använda sin revisionsfunktion för att värdera området anläggningsändringar med påverkan på MTO. SSM väljer därför att inte bedöma kravuppfyllnaden på detta område. Säkerhetsgranskning cfqs uppger att FQS vill bli starkare i sin granskning av anläggningsändringsspecifikationer. Detta för att tidigt i projektet kunna hjälpa projekten att hitta fallgropar och identifiera vilka säkerhetskrav som är tillämpliga i projektet. Den kompetens som finns på FQS för att granska samspelet mellan människa-teknik-organisation är begränsad. Det är inte praxis att ta in kompetens från annat håll för att utföra denna typ av granskning. FQS har som tidigare nämnts genomgått en egeninitierad utbildning rörande TIGER. Dessutom ska utvalda personer på FQS gå Nivå 2: MMI. Ett arbete med att ta fram en rutin för granskning av ärenden med MTO-karaktär pågår.

18 Sida 18 (22) SSM har gjort en översiktlig genomgång av de granskningsprotokoll [39][40] som rör FT46 och finner att granskningskommentarerna inte berör TIGER-processen och det arbete som utförts där. SSM:s bedömning Krav rörande säkerhetsgranskning finns i SSMFS 2008:1, 4 kap. 3 och 5. I det exempel SSM följt (FT46) har säkerhetsgranskningen inte omfattat samspelet mellan männsika-teknik-organisation i tillräcklig omfattning. De kvalitetsbrister som SSM identifierat i exempelprojektet (bl.a. avsaknaden av beskrivning av vilka scenarier som använts i valideringen och otydlig hantering av acceptanskriterier) gör att det inte går att avgöra om arbetet hanterats på ett ur MTO-perspektiv korrekt sätt. Det gör även att det inte går att se om de slutsatser som dras i valideringsrapporten är fackmässigt underbyggda. Enligt de allmänna råden är det en del av säkerhetsgranskningen att bedömma om ärendet hanterats på rätt sätt, att slutsatser är fackmässigt underbyggda och att analysresultat är riktiga. SSM bedömmer därför att FKA i det exempel SSM följt endast delvis uppfyllt SSM:s föreskrifter gällande säkerhetsgranskning. SSM kan konstatera att varken den fristående eller primära säkerhetsgranskningen uppmärksammat ovan nämnda kvalitetsbrister vilket tyder på att säkerhetsgranskningsfunktionen saknar tillräcklig MTOkunskap. I de allmänna råden nämns att beteendevetenskaplig kompetens bör nyttjas och att personal som utför fristående säkerhetsgranskning ska ha sådan kunskap och erfarenhet att de självständigt kan bedöma ärenden. SSM bedömer därför att FKA:s säkerhetsgranskningsfunktion, med avseende på granskning av anläggningsändringar med påverkan på samspelet människateknik-organisation, endast delvis uppfyller SSM:s föreskrifter gällande säkerhetsgranskning. FKA har redovisat planerade och pågående åtgärder för att stärka kompetens och arbetssätt gällande MTO/MMI-frågor hos fristående säkerhetsgranskare. Samlad bedömning av kravuppfyllelsen Nedan presenteras SSM samlade bedömning av kravuppfyllelsen. Kraven bedöms utifrån det område inspektionen fokuserat på och alltså inte i sin helhet. SSM noterar att FKA utvecklat styrningen inom området och ökat engagemanget i frågan. SSM ser även att FKA identifierat områden som kan förbättras och har planer för att utföra dessa förbättringar.

19 Sida 19 (22) Under inspektionen har SSM noterat ett antal brister i kravuppfyllnaden inom området anläggningsändringar med påverkan på MTO, nämligen att: FKA i sin tillämpning av ledningssystemet för att ta hänsyn till MTO-frågor vid anläggningsändringar endast delvis uppfyller SSM:s krav (SSMFS 2008:1, 2 kap. 8, SSMFS 2008:1, 3 kap. 3 samt SSMFS 2008:17, 18 ). FKA inte fullt ut uppfyller kravet rörande ansvar, befogenheter och samarbetsförhållanden inom området anläggningsändringar med påverkan på MTO (SSMFS 2008:1, 2 kap. 9 punkt 2). FKA endast delvis uppfyller kravet på kompetens inom området för anläggningsändringar med påverkan på MTO (SSMFS 2008:1, 2 kap. 9 punkt 5). FKA:s säkerhetsgranskningsfunktion, med avseende på granskning av anläggningsändringar med påverkan på samspelet människateknik-organisation, endast delvis uppfyller SSM:s föreskrifter gällande säkerhetsgranskning (SSMFS 2008:2, 4 kap. 3 och 5 ) SSM noterar även en brist som gäller generellt inom området anläggningsändringar, nämligen att: FKA inte fullt ut uppfyller kravet gällande tillvaratagande av erfarenheter (SSMFS 2008:1, 2 kap. 9 punkt 7). Områdena kompetens och tillvaratagande av erfarenheter är områden där FKA tidigare fått förelägganden[1][5]. SSM ser att ledningssystemet till stor del ger förutsättningar för att uppfylla kraven men att arbete kvarstår innan det tillämpas fullt ut. FKA behöver värdera de brister och påpekanden som finns i denna rapport och ta fram ett åtgärdsprogram för att hantera dessa. FKA behöver även värdera huruvida de brister som identifierats i exempelprojekten även finns i andra (genomförda och pågående) projekt och om så är fallet åtgärda dem. Referenser [1] SKI 2007/98. Beslut, Föreläggande att komplettera kompetens- och bemanningsplaner samt tydliggöra rutiner för erfarenhetsåterföring gällande processen vid anläggningsändringar med påverkan på kontrollrum, , #57694 [2] SKI 2007/98, Inspektionsrapport, Inspektion vid Forsmarks Kraftgrupp AB avseende processen för anläggningsändringar, med fokus på MTO-perspektiv, , #56814

20 Sida 20 (22) [3] SSM 2007/98. Granskning av FKA:s komplettering av kompetens och bemanningsplaner samt rutiner för erfarenhetsåterföring, gällande processen vid anläggningsändringar med påverkan på kontrollrum, , #65149 [4] SSM 2008/111. Inspektionsrapport, Uppföljning av FKA:s redovisning av genomförda åtgärder enligt föreläggande processen vid anläggningsändringar med påverkan på kontrollrum, [5] SSM 2008/111. Beslut, Föreläggande med vite om att fastställa kompetenskrav mm, , #69574 [6] SSM 2008/111. Granskning av svar på föreläggande avseende kompetens och bemanning vid genomförande av anläggningsändringar med påverkan på kontrollrum, , #71613 [7] SSM 2010/2495, Inspektion av FKA:s kompetenssäkringssystem (stora projekt), , SSM [8] Forsmark 1 Omfattning av TIGER för utvärdering av AÄ N Förnyelse av FT46, , F , rev. 0 [9] Forsmark 1 Nulägesbeskrivning enligt TIGER gällande AÄ N Förnyelse av FT46, , F , rev. 0 [10] Forsmark 1 och 2 Analys och framtagning av MMI för AÄ N Förnyelse av FT46, , F , rev. 1 [11] Verifieringsplan för förnyelse av FT46 inom N , , F , rev. 0 [12] Forsmark 1 och 2 Verifieringsrapport FT46, , F , rev.0 [13] Valideringsplan för nytt MMI i CKR, , F , rev.0 [14] F12 Validering av förändrat MMI CKR 2009, , F , rev. 0 [15] Teknisk avlämning N F2 Systemdel 505/521, , F12C , rev. 0 [16] Att göra-lista CKR F1/F2, , F , rev. 0 [17] F1/F2 Framtagning av ny layout för PB7 Etapp 2. (N ), , F , rev. 1 [18] Utvärdering av PB7 omstrukturering, , F , rev. 0 [19] Forsmark 1 och 2 Omfattning av TIGER för AÄ N Förnyelse av 70 kv ställverksanläggning ÄT66, , F , rev. 0. [20] Nulägesbeskrivning förnyelse av ÄT-66 enligt projekt N , , F , rev. 1 [21] Införandeplan N R8/15 Ö20:1 O3: Nytt 518 villkor, etapp B F12, , FT , rev.1 (Inkommen till SSM i ärende SSM 2010/3369)

21 Sida 21 (22) [22] Bedömning angående behov av TIGER-analys. N Införande av RÖP etapp B på F12 och F2, , F12C , rev. 0 (Inkommen till SSM i ärende SSM 2010/3369) [23] Forsmark 1 och 2: Anmälan av anläggningsändring Införande av ny reservövervakningsplats, , FQ (Inkommen till SSM i ärende SSM 2010/3369) [24] F1, F2, F3 tillvägagångssätt vid specificering och granskning av ny ergonomidesign (TIGER), , F-I-1040, rev.0 [25] Forsmark Beställarinstruktion, ,F-I-274, rev. 8 [26] Process Anläggningsförnyelse, , F-I-259, rev. 8 [27] Process Anläggningsförnyelse Genomförande av Anläggningsändring, , F-I-261, rev. 8 [28] Metodik för konstruktion av el- och kontrollsystem, , F-I-181, rev.9 [29] Ansvar och arbetsområden inom F12C, , F12-I-0007, rev. 4 [30] Forsmark 3 Ansvarsinstruktion anläggningssektionen F3C, , F , rev. 8 [31] Målanalys MTO, MMI och erfarenhetsåterföring. KursTyper 89208, 95590, 95591, 95592, (ännu ej fastställd), FPK , rev [32] Identifiering och fastställande av kompetenskrav och befattningskriterier för de funktioner som verkar inom AÄ-processens påverkan på kontrollrumsutformning, , FP , rev. 1 [33] F12Åtgärdsplan för kompetens och resurs, , F , rev. 0 [34] F3 Långsiktig kompetens och bemanningsplan , , F , rev. 1 [35] FT åtgärdsplan för 2011 för kompetens och resurs, , FT , rev. 0 [36] Temagranskning Tg 4/09, Erfarenhetsåterföring, Slutrapport, , FKA , rev. 2 [37] Interngranskning Ir6/08, FT, Slutrapport, , FKA , rev. 2 [38] Interngranskning Ir, 3/08 Förnyelseprocessen, , FKA , rev. 1 [39] Bilaga 1 Granskningskommentarer, F1 och F2 Förnyelse av 400 kv ställverket FT46, Införandeplan, , FT , rev. 1 [40] Bilaga 1 Granskningskommentarer, F1 och F2 Förnyelse av 400 kv ställverket FT46, Införandeplan, , FT , rev. 2 [41] Omhändertagande av krav i SSMFS 2008:1, , FKA , rev. 1 (Inkommen till SSM i ärende SSM )

22 Sida 22 (22) [42] Forsmark 1 och 2 Kontrollrumsfilosofi, , F12-I-2277, rev. 0. [43] Forsmark 3 kontrollrumsfilosofi, , F , rev. 2 [44] Forsmark 3 Målkontrollrum, , F , rev. 1 [45] Dialog kring gränssnittslösning i CKR gällande framåtpumpning N , , F12C , rev. 0 [46] MMI-underlag till projekt TU12, , FT , rev.0 [47] Projekt N Åtgärder MMI/El-tavla Erfarenhetsrapport RA05 (Forsmark 1), , FT , rev. 0 [48] Erfarenhetsåterföring, Ombyggnad av V-kedjan till säkerhetsfunktion, N , , FT , rev. 0