ESD, SIS, dan interlock: apa bedanya dan apa itu SIL

Emergency shutdown (ESD) adalah fungsi yang membawa proses ke kondisi aman saat bahaya muncul. Jika fungsi itu dirancang, diverifikasi, dan diuji menurut IEC 61511 dengan target safety integrity level (SIL) tertentu, ia menjadi bagian dari safety instrumented system (SIS). Interlock adalah istilah yang lebih luas: logika apa pun yang mengizinkan atau menahan suatu aksi, misalnya pompa yang tidak bisa start selama valve hisapnya tertutup.

Ketiga istilah ini saling tumpang tindih dan di lapangan sering dipakai bergantian. Panduan ini memisahkannya, menunjukkan posisi masing-masing dalam lapisan proteksi, menjelaskan arti SIL 1 sampai SIL 4, dan menyebut siapa yang menetapkan targetnya. Contohnya diambil dari terminal BBM, stasiun pompa booster, dan marine loading arm.

ESD, SIS, dan interlock adalah tiga jawaban untuk satu pertanyaan, yaitu apa yang menghentikan pabrik saat ada yang salah. Ketiganya berbeda dalam hakikatnya dan dalam jumlah bukti yang dituntut.

Interlock adalah aturan dalam logika kontrol. "Pompa P-101 hanya boleh start jika valve hisap terbuka" adalah interlock. Interlock biasanya berada di basic process control system (BPCS), yaitu PLC atau DCS, dan sebagian besar melindungi peralatan atau urutan proses, bukan manusia.

Fungsi ESD membawa proses ke kondisi amannya: pompa dihentikan, valve isolasi ditutup, loading arm dilepas dari energi. Pemicunya bisa berupa sensor, fire and gas system, atau tombol tekan. Di terminal yang lebih lama, ESD sering berupa logika relay atau PLC khusus yang dikabel ke shutdown valve.

SIS adalah kumpulan sensor, logic solver, dan elemen akhir (final element) yang menjalankan satu atau lebih safety instrumented function (SIF), masing-masing dengan target SIL. IEC 61511 mengatur cara menetapkan spesifikasi, merancang, menguji, dan merawatnya. Fungsi ESD yang mengikuti standar itu adalah SIF, dan perangkat keras yang menjalankannya menjadi bagian dari SIS.

BPCS adalah sistem kontrol harian. Ia menjaga proses tetap dalam batas operasi. IEC 61511 meminta SIS independen dari BPCS, supaya satu kegagalan tidak menghilangkan kontrol dan proteksi sekaligus.

Ada dua pembacaan praktis. Pertama, setiap fungsi SIS adalah semacam interlock, tetapi tidak setiap interlock adalah fungsi SIS. Kedua, "ESD" menyebut apa yang dilakukan fungsi itu, sedangkan "SIS" dan "SIL" menyebut seberapa banyak bukti di belakangnya.

Jadi sebuah terminal bisa memiliki ESD yang bekerja baik tetapi belum punya target SIL di atas kertas. Itu celah dokumentasi, bukan bukti bahaya. Bagian berikutnya menunjukkan cara menutupnya.

Pabrik tidak pernah dilindungi oleh satu perangkat. Ia dilindungi oleh lapisan, dan setiap lapisan menurunkan peluang gangguan kecil berkembang menjadi kecelakaan.

Center for Chemical Process Safety (CCPS) menguraikannya dalam metode layer of protection analysis (LOPA), dan IEC 61511 menggambarkan hal yang sama. SIS adalah lapisan terakhir yang bekerja otomatis. Lapisan sesudahnya bekerja tanpa sinyal, seperti relief valve atau tanggul tangki, atau bergantung pada manusia.

LOPA memberi nilai (credit) pada setiap lapisan, tetapi hanya jika lapisan itu independen, spesifik terhadap bahayanya, dapat diandalkan, dan dapat diaudit. Karena itu SIS tidak boleh berbagi transmitter dengan loop kontrol yang gagal. Jika satu transmitter tekanan memberi sinyal ke loop PLC sekaligus ke trip, satu sinyal yang macet mengalahkan dua lapisan sekaligus.

Lapisan alarm hanya mendapat nilai bila operator punya cukup waktu untuk bertindak dan langkah responsnya tertulis jelas. Jika jarak waktu antara alarm dan bahaya terlalu pendek untuk manusia, proteksinya harus otomatis, dan itulah wilayah SIS.

Target SIL tidak lebih dari nilai proteksi yang harus disediakan SIS untuk menurunkan risiko ke tingkat yang diterima pemilik.

Setiap safety instrumented function punya tiga bagian: yang merasakan, yang memutuskan, dan yang bertindak. ESD di pompa booster pun demikian.

Sensor berupa transmitter tekanan, detektor gas, level switch, atau tombol tekan manual. Logic solver membaca sensor, membandingkannya dengan setpoint trip, lalu menggerakkan keluarannya. Untuk fungsi ber-SIL, ini biasanya safety PLC bersertifikat IEC 61508; di pabrik yang lebih lama bisa berupa logika relay. Elemen akhir adalah starter pompa dan emergency shutdown valve (ESDV), yaitu valve yang bergerak ke posisi tertentu saat sinyalnya hilang.

Aturan desainnya mengikuti cara komponen gagal. Fungsi ini normalnya bertenaga (energised), sehingga catu daya hilang, kabel putus, atau kartu rusak membawa keluaran ke kondisi aman. Valve menutup dengan pegas atau udara tersimpan. Bila trip palsu mahal akibatnya, perancang memakai voting sensor, misalnya dua dari tiga, sehingga satu transmitter rusak tidak menghalangi trip dan tidak memicunya sendirian. Reset menuntut tindakan operator yang disengaja setelah penyebabnya hilang, agar pabrik tidak menyala kembali dengan sendirinya.

Proyek Citia di Pertamina Pulau Baai, Bengkulu, memperlihatkan sisi prakteknya. Citia mengerjakan emergency shutdown pompa dengan lingkup PLC, relay, dan keselamatan. Diagram wiring, loop drawing, dan cause and effect yang ada tidak sepenuhnya cocok dengan kondisi lapangan, sehingga tim memverifikasi setiap sinyal titik demi titik dan memperbarui dokumen ke kondisi as-built. Logika baru disimulasikan dan diuji offline, lalu disambungkan saat shutdown terjadwal.

Satu detail tergolong khas. Indikator fault tetap aktif setelah pompa berhenti normal, karena status fault berasal dari variable speed drive yang sudah ada. Masalah integrasi seperti ini baru terlihat saat seseorang menguji terhadap peralatan sebenarnya.

Buletin teknis Citia tentang ESD pompa booster di pipa transmisi menyebut kebutuhan yang sama: redundansi, sensor akurat, respons cepat, perawatan rutin, dan koneksi ke PLC serta SCADA. Pelajaran praktisnya sama: daftarkan setiap pemicu dan setiap akibat, lalu uji dari ujung ke ujung, tidak hanya per perangkat.

Safety integrity level adalah angka 1 sampai 4 yang menyatakan seberapa andal sebuah fungsi keselamatan harus bekerja. Makin tinggi angkanya, makin kecil peluang fungsi itu gagal saat dibutuhkan.

IEC 61508 mendefinisikan levelnya dan IEC 61511 menerapkannya pada pabrik proses. Untuk fungsi yang jarang dipanggil, disebut low demand mode, ukurannya adalah rata-rata probabilitas gagal saat diminta (average probability of failure on demand, PFDavg). IEC 61508-1 memberi rentangnya dalam tabel. Fungsi SIL 2, misalnya, punya PFDavg dari 0,001 sampai di bawah 0,01.

SIL melekat pada fungsi, bukan pada perangkat. Sebuah transmitter boleh berlabel "suitable for SIL 2", yang hanya berarti pabrikan telah menilainya menurut IEC 61508. Apakah fungsi lengkapnya, sensor ditambah logic solver ditambah valve, mencapai SIL 2 bergantung pada arsitektur, laju kegagalan, diagnostik, interval proof test, dan mutu proses lifecycle. Perancang menghitung dan mendokumentasikannya. Di terminal, angka SIL jarang menjadi tujuan tersendiri; ia berfungsi sebagai bahasa bersama antara pemilik, perancang, dan tim perawatan.

Di terminal, elemen terlemah biasanya elemen akhir. Shutdown valve punya bagian bergerak dan sering diam sampai hari ia dibutuhkan, jadi proof test-nya lebih menentukan daripada datasheet kartu logika.

IEC 61511 membahas SIL 1 sampai SIL 3, dan SIL 4 tidak dicakup di dalamnya. Ketika sebuah fungsi tampak membutuhkan SIL 3, biasanya yang ditanyakan lebih dulu adalah apakah lapisan lain atau perubahan desain bisa menurunkan frekuensi tuntutannya.

Pemilik atau operator fasilitas yang menentukan, bukan vendor instrumen dan bukan instalatir. Targetnya berasal dari penilaian risiko atas bahaya yang dijaga oleh fungsi itu.

Jalurnya biasanya tiga langkah. Studi bahaya seperti HAZOP mendaftar skenario, misalnya tekanan tinggi di pipa transfer. Tim lalu memperkirakan seberapa sering tiap skenario bisa terjadi dan seberapa parah dampaknya, memakai LOPA atau risk graph. Terakhir, hasilnya dibandingkan dengan risiko yang diterima pemilik. Selisihnya adalah pengurangan risiko yang harus disediakan SIF, dan itulah yang menentukan SIL.

Perancang dan integrator kemudian memverifikasi SIL yang dicapai terhadap target, dan pemilik menyimpan buktinya untuk audit. IEC 61511 menata semuanya sebagai safety lifecycle dengan safety requirements specification (SRS) di pusatnya.

Empat salah kaprah muncul berulang kali dalam tinjauan desain, umumnya karena istilahnya dipakai longgar dalam percakapan sehari-hari. Daftar ini bukan kritik terhadap teknisi; ia hanya membantu menyamakan bahasa sebelum rapat dimulai.

• "ESD" berarti tombol merah. Tombol hanyalah satu pemicu. Fungsi ESD adalah seluruh rantai dari setiap pemicu sampai setiap elemen akhir.
• "Valve ber-SIL" berarti loop-nya ber-SIL. Label itu menyatakan kelayakan valve. Loop baru mencapai SIL setelah sensor, logic solver, dan valve dihitung bersama.
• "Redundan" berarti aman. Dua transmitter pada impulse line yang sama, atau dengan catu daya yang sama, bisa gagal bersamaan. Redundansi menolong bila kegagalannya independen, atau bila desain sudah memperhitungkan penyebab bersama (common cause).
• "Process shutdown" dan "emergency shutdown" sama saja. Banyak pabrik memisahkannya. Process shutdown menghentikan satu unit setelah gangguan operasi, sedangkan emergency shutdown menjawab bahaya dan dapat mengisolasi satu area penuh. Tingkatan dan namanya mengikuti filosofi shutdown milik pemilik, jadi mintalah dokumen itu sebelum membaca matriks cause and effect.

Fungsi shutdown mendapatkan SIL-nya di atas kertas dan mempertahankannya, atau kehilangannya, saat beroperasi. Empat kebiasaan yang menentukan.

Proof test. Kegagalan berbahaya pada fungsi trip tetap tersembunyi sampai tuntutan berikutnya datang, dan proof test menemukannya. Interval, langkah, dan kriteria lulusnya berasal dari safety requirements specification. Uji dari sensor sampai elemen akhir, termasuk waktu langkah (stroke time) valve dan umpan balik status di SCADA.

Partial stroke test menggerakkan valve sebagian di antara uji penuh. Ia menambah cakupan diagnostik tetapi tidak menggantikan uji full stroke, yang di banyak terminal dijadwalkan saat shutdown terencana karena menggerakkan valve jalur akan menghentikan penyaluran produk.

Kontrol bypass. Operator kadang menonaktifkan trip saat start-up atau ketika transmitter bermasalah. Setiap bypass perlu izin tertulis, batas waktu, tindakan kompensasi seperti operator yang berjaga, dan indikasi yang terlihat di control room. Bypass yang tidak diingat siapa pun adalah salah satu cara fungsi kehilangan integritasnya tanpa ada peralatan yang rusak.

Kontrol perubahan. Mengubah setpoint trip, mengganti transmitter dengan model lain, atau memindahkan sinyal ke kartu yang berbeda adalah modifikasi. IEC 61511 meminta tinjauan sebelum perubahan dan uji ulang sesudahnya.

Trip palsu. Setiap shutdown yang tidak diinginkan menghentikan penyaluran produk dan membebani pompa serta valve. Operator yang terus mengalami trip palsu mulai tidak percaya pada sistem lalu mem-bypass-nya. Karena itulah ada voting sensor dan diagnostik yang membedakan transmitter rusak dari kejadian proses yang nyata.

Interlock di bay pengisian mengerjakan tugas harian: tidak ada preset sebelum grounding terverifikasi, tidak ada aliran kecuali probe overfill menunjukkan kering, tidak ada pelepasan gate sebelum transaksi ditutup. Interlock itu berada di batch controller dan PLC, yang dibahas di panduan batch controller dan panduan filling shed, sedangkan permissive grounding dibahas di grounding dan listrik statis saat pengisian.

Pekerjaan Citia di Pertamina Priok menambah contoh jalur pipa. Transmitter tekanan, transmitter suhu, dan detektor gas memberi data ke sistem kontrol, dan nilai di luar batas memicu alarm serta mengirim trip ke shutdown valve. Pemulihan sistem unloading dan backloading itu mencakup HMI, PLC, panel, dan sensor untuk proteksi tersebut.