--- title: "Emergency Shutdown (ESD), SIS, Interlock, dan SIL | Citia" description: "Emergency shutdown (ESD) membawa proses ke kondisi aman; dibangun menurut IEC 61511 dengan target SIL, ia menjadi bagian SIS. Bedanya ESD, SIS, dan interlock." url: https://citia-engineering.com/id/knowledge/esd-sis-interlock language: id updated: 2026-11-13 type: article site: Citia Engineering Indonesia --- # ESD, SIS, dan interlock: apa bedanya dan apa itu SIL Emergency shutdown (ESD) membawa proses ke kondisi aman; jika dibangun menurut IEC 61511 dengan target SIL, ia menjadi bagian dari safety instrumented system (SIS). | Info | Isi | | --- | --- | | Topik | Keselamatan Proses | | Penulis | Tim Engineering Citia | | Diperbarui | 2026-11-13 | Ringkasan Emergency shutdown (ESD) adalah fungsi yang membawa proses ke kondisi aman saat bahaya muncul. Jika fungsi itu dirancang, diverifikasi, dan diuji menurut IEC 61511 dengan target safety integrity level (SIL) tertentu, ia menjadi bagian dari safety instrumented system (SIS) . Interlock adalah istilah yang lebih luas: logika apa pun yang mengizinkan atau menahan suatu aksi, misalnya pompa yang tidak bisa start selama valve hisapnya tertutup. Ketiga istilah ini saling tumpang tindih dan di lapangan sering dipakai bergantian. Panduan ini memisahkannya, menunjukkan posisi masing-masing dalam lapisan proteksi, menjelaskan arti SIL 1 sampai SIL 4, dan menyebut siapa yang menetapkan targetnya. Contohnya diambil dari terminal BBM, stasiun pompa booster, dan marine loading arm. - Emergency shutdown (ESD) adalah fungsi yang membawa proses ke kondisi aman; jika dirancang dan diverifikasi menurut IEC 61511 dengan target SIL, ia menjadi bagian dari safety instrumented system (SIS). - Interlock adalah logika apa pun yang mengizinkan atau menahan suatu aksi. Setiap fungsi SIS adalah interlock, tetapi sebagian besar interlock di pabrik bukan fungsi SIS. - SIL 1 sampai SIL 4 menyatakan seberapa andal sebuah fungsi keselamatan harus bekerja. Level ini melekat pada seluruh fungsi (sensor, logic solver, dan valve), bukan pada satu perangkat. - Pemilik fasilitas menetapkan target SIL dari penilaian risiko seperti HAZOP dan LOPA. Vendor dan instalatir memverifikasi bahwa sistem yang dibangun memenuhinya. ## Tiga istilah, satu tujuan: berhenti dengan aman ESD, SIS, dan interlock adalah tiga jawaban untuk satu pertanyaan, yaitu apa yang menghentikan pabrik saat ada yang salah. Ketiganya berbeda dalam hakikatnya dan dalam jumlah bukti yang dituntut. Interlock adalah aturan dalam logika kontrol. "Pompa P-101 hanya boleh start jika valve hisap terbuka" adalah interlock. Interlock biasanya berada di basic process control system (BPCS), yaitu PLC atau DCS, dan sebagian besar melindungi peralatan atau urutan proses, bukan manusia. Fungsi ESD membawa proses ke kondisi amannya: pompa dihentikan, valve isolasi ditutup, loading arm dilepas dari energi. Pemicunya bisa berupa sensor, fire and gas system, atau tombol tekan. Di terminal yang lebih lama, ESD sering berupa logika relay atau PLC khusus yang dikabel ke shutdown valve. SIS adalah kumpulan sensor, logic solver, dan elemen akhir (final element) yang menjalankan satu atau lebih safety instrumented function (SIF), masing-masing dengan target SIL. IEC 61511 mengatur cara menetapkan spesifikasi, merancang, menguji, dan merawatnya. Fungsi ESD yang mengikuti standar itu adalah SIF, dan perangkat keras yang menjalankannya menjadi bagian dari SIS. BPCS adalah sistem kontrol harian. Ia menjaga proses tetap dalam batas operasi. IEC 61511 meminta SIS independen dari BPCS, supaya satu kegagalan tidak menghilangkan kontrol dan proteksi sekaligus. Ada dua pembacaan praktis. Pertama, setiap fungsi SIS adalah semacam interlock, tetapi tidak setiap interlock adalah fungsi SIS. Kedua, "ESD" menyebut apa yang dilakukan fungsi itu, sedangkan "SIS" dan "SIL" menyebut seberapa banyak bukti di belakangnya. Jadi sebuah terminal bisa memiliki ESD yang bekerja baik tetapi belum punya target SIL di atas kertas. Itu celah dokumentasi, bukan bukti bahaya. Bagian berikutnya menunjukkan cara menutupnya. - Apa itu: Logika yang mengizinkan atau menahan aksi | Aksi yang membawa proses ke kondisi aman | Fungsi keselamatan menurut IEC 61511 dengan target SIL | Kontrol dan pemantauan sehari-hari - Tujuan: Melindungi peralatan dan menjaga urutan proses | Menghentikan aliran dan mengisolasi saat bahaya terdeteksi | Menurunkan risiko kejadian berbahaya dengan faktor yang ditetapkan | Menjaga proses dalam batas operasi - Contoh di terminal: Start pompa ditahan selama valve hisap tertutup | Pompa booster trip dan valve jalur menutup saat tekanan discharge mencapai high-high | Trip yang sama, dengan target SIL dan proof test | Loop tekanan dan alarm tekanan tinggi untuk operator - Bukti yang diperlukan: Uji fungsi saat commissioning | Matriks cause and effect dan uji fungsi | Verifikasi SIL, interval proof test, catatan lifecycle | FAT dan SAT - Hubungan dengan BPCS: Biasanya berada di dalamnya | Sebaiknya terpisah darinya | Terpisah, sesuai harapan IEC 61511 | Lapisan kontrol itu sendiri ## Posisi ESD dalam lapisan proteksi Pabrik tidak pernah dilindungi oleh satu perangkat. Ia dilindungi oleh lapisan, dan setiap lapisan menurunkan peluang gangguan kecil berkembang menjadi kecelakaan. Center for Chemical Process Safety (CCPS) menguraikannya dalam metode layer of protection analysis (LOPA), dan IEC 61511 menggambarkan hal yang sama. SIS adalah lapisan terakhir yang bekerja otomatis. Lapisan sesudahnya bekerja tanpa sinyal, seperti relief valve atau tanggul tangki, atau bergantung pada manusia. LOPA memberi nilai (credit) pada setiap lapisan, tetapi hanya jika lapisan itu independen, spesifik terhadap bahayanya, dapat diandalkan, dan dapat diaudit. Karena itu SIS tidak boleh berbagi transmitter dengan loop kontrol yang gagal. Jika satu transmitter tekanan memberi sinyal ke loop PLC sekaligus ke trip, satu sinyal yang macet mengalahkan dua lapisan sekaligus. Lapisan alarm hanya mendapat nilai bila operator punya cukup waktu untuk bertindak dan langkah responsnya tertulis jelas. Jika jarak waktu antara alarm dan bahaya terlalu pendek untuk manusia, proteksinya harus otomatis, dan itulah wilayah SIS. Target SIL tidak lebih dari nilai proteksi yang harus disediakan SIS untuk menurunkan risiko ke tingkat yang diterima pemilik. - Desain proses: Rating pipa, kurva pompa, dan ukuran tangki menentukan apa yang mungkin terjadi. - BPCS: PLC atau DCS menjaga tekanan, aliran, dan level dalam batas operasi. - Alarm dan tindakan operator: Alarm tekanan tinggi meminta operator bertindak dalam waktu yang ditetapkan. - SIS dan ESD: Sensor dan logika independen menghentikan pompa dan menutup valve secara otomatis. - Proteksi fisik: Relief valve, rupture disc, dan tanggul membatasi kebocoran jika shutdown gagal. - Tanggap darurat: Regu pemadam, rencana tanggap darurat lokasi, dan di luar pagar, tanggap darurat masyarakat. ## Cara kerja fungsi ESD di stasiun pompa Setiap safety instrumented function punya tiga bagian: yang merasakan, yang memutuskan, dan yang bertindak. ESD di pompa booster pun demikian. Sensor berupa transmitter tekanan, detektor gas, level switch, atau tombol tekan manual. Logic solver membaca sensor, membandingkannya dengan setpoint trip, lalu menggerakkan keluarannya. Untuk fungsi ber-SIL, ini biasanya safety PLC bersertifikat IEC 61508; di pabrik yang lebih lama bisa berupa logika relay. Elemen akhir adalah starter pompa dan emergency shutdown valve (ESDV), yaitu valve yang bergerak ke posisi tertentu saat sinyalnya hilang. Aturan desainnya mengikuti cara komponen gagal. Fungsi ini normalnya bertenaga (energised), sehingga catu daya hilang, kabel putus, atau kartu rusak membawa keluaran ke kondisi aman. Valve menutup dengan pegas atau udara tersimpan. Bila trip palsu mahal akibatnya, perancang memakai voting sensor, misalnya dua dari tiga, sehingga satu transmitter rusak tidak menghalangi trip dan tidak memicunya sendirian. Reset menuntut tindakan operator yang disengaja setelah penyebabnya hilang, agar pabrik tidak menyala kembali dengan sendirinya. Proyek Citia di Pertamina Pulau Baai, Bengkulu, memperlihatkan sisi prakteknya. Citia mengerjakan emergency shutdown pompa dengan lingkup PLC, relay, dan keselamatan. Diagram wiring, loop drawing, dan cause and effect yang ada tidak sepenuhnya cocok dengan kondisi lapangan, sehingga tim memverifikasi setiap sinyal titik demi titik dan memperbarui dokumen ke kondisi as-built. Logika baru disimulasikan dan diuji offline, lalu disambungkan saat shutdown terjadwal. Satu detail tergolong khas. Indikator fault tetap aktif setelah pompa berhenti normal, karena status fault berasal dari variable speed drive yang sudah ada. Masalah integrasi seperti ini baru terlihat saat seseorang menguji terhadap peralatan sebenarnya. Buletin teknis Citia tentang ESD pompa booster di pipa transmisi menyebut kebutuhan yang sama: redundansi, sensor akurat, respons cepat, perawatan rutin, dan koneksi ke PLC serta SCADA. Pelajaran praktisnya sama: daftarkan setiap pemicu dan setiap akibat, lalu uji dari ujung ke ujung, tidak hanya per perangkat. - Sensor dan tombol tekan: Transmitter tekanan, detektor gas, dan tombol manual. Di-voting bila trip palsu mahal akibatnya. - Logic solver ESD: Safety PLC atau logika relay. Membandingkan sinyal dengan setpoint trip dan menggerakkan keluaran. - Trip pompa: Starter atau drive dilepas dari energi. Status fault dari drive yang sudah ada harus dipetakan dengan benar. - Valve ESD menutup: Valve pegas atau udara tersimpan bergerak ke posisi aman saat sinyal hilang. - Alarm dan log SCADA: Operator melihat penyebab, event pertama (first-out), dan posisi valve. ## Arti SIL 1 sampai SIL 4 Safety integrity level adalah angka 1 sampai 4 yang menyatakan seberapa andal sebuah fungsi keselamatan harus bekerja. Makin tinggi angkanya, makin kecil peluang fungsi itu gagal saat dibutuhkan. IEC 61508 mendefinisikan levelnya dan IEC 61511 menerapkannya pada pabrik proses. Untuk fungsi yang jarang dipanggil, disebut low demand mode, ukurannya adalah rata-rata probabilitas gagal saat diminta (average probability of failure on demand, PFDavg). IEC 61508-1 memberi rentangnya dalam tabel. Fungsi SIL 2, misalnya, punya PFDavg dari 0,001 sampai di bawah 0,01. SIL melekat pada fungsi , bukan pada perangkat. Sebuah transmitter boleh berlabel "suitable for SIL 2", yang hanya berarti pabrikan telah menilainya menurut IEC 61508. Apakah fungsi lengkapnya, sensor ditambah logic solver ditambah valve, mencapai SIL 2 bergantung pada arsitektur, laju kegagalan, diagnostik, interval proof test, dan mutu proses lifecycle. Perancang menghitung dan mendokumentasikannya. Di terminal, angka SIL jarang menjadi tujuan tersendiri; ia berfungsi sebagai bahasa bersama antara pemilik, perancang, dan tim perawatan. Di terminal, elemen terlemah biasanya elemen akhir. Shutdown valve punya bagian bergerak dan sering diam sampai hari ia dibutuhkan, jadi proof test-nya lebih menentukan daripada datasheet kartu logika. IEC 61511 membahas SIL 1 sampai SIL 3, dan SIL 4 tidak dicakup di dalamnya. Ketika sebuah fungsi tampak membutuhkan SIL 3, biasanya yang ditanyakan lebih dulu adalah apakah lapisan lain atau perubahan desain bisa menurunkan frekuensi tuntutannya. - SIL 1: 0,01 sampai di bawah 0,1 | Di atas 10, sampai 100 - SIL 2: 0,001 sampai di bawah 0,01 | Di atas 100, sampai 1.000 - SIL 3: 0,0001 sampai di bawah 0,001 | Di atas 1.000, sampai 10.000 - SIL 4: 0,00001 sampai di bawah 0,0001 | Di atas 10.000, sampai 100.000 ## Siapa yang menetapkan target SIL Pemilik atau operator fasilitas yang menentukan, bukan vendor instrumen dan bukan instalatir. Targetnya berasal dari penilaian risiko atas bahaya yang dijaga oleh fungsi itu. Jalurnya biasanya tiga langkah. Studi bahaya seperti HAZOP mendaftar skenario, misalnya tekanan tinggi di pipa transfer. Tim lalu memperkirakan seberapa sering tiap skenario bisa terjadi dan seberapa parah dampaknya, memakai LOPA atau risk graph. Terakhir, hasilnya dibandingkan dengan risiko yang diterima pemilik. Selisihnya adalah pengurangan risiko yang harus disediakan SIF, dan itulah yang menentukan SIL. Perancang dan integrator kemudian memverifikasi SIL yang dicapai terhadap target, dan pemilik menyimpan buktinya untuk audit. IEC 61511 menata semuanya sebagai safety lifecycle dengan safety requirements specification (SRS) di pusatnya. ## Safety lifecycle dalam enam tahap Banyak sistem ESD di terminal dibangun sebelum pemilik menetapkan target SIL. IEC 61511 mengharapkan pemilik juga menilai sistem yang sudah ada dan menunjukkan bahwa sistem itu dirancang, dirawat, diuji, dan dioperasikan dengan aman. Awal yang praktis adalah cara yang dipakai di Pulau Baai: susun ulang matriks cause and effect dan gambar dari kondisi lapangan, lalu putuskan fungsi mana yang pantas diberi target SIL. - Tahap 1: Penilaian bahaya dan risiko. HAZOP dan LOPA mengidentifikasi skenario dan risiko yang harus ditutup. - Tahap 2: Alokasi fungsi dan target SIL. Setiap fungsi keselamatan dialokasikan ke satu lapisan dan diberi SIL. - Tahap 3: Spesifikasi kebutuhan keselamatan. Titik trip, waktu respons, kondisi aman, dan aturan reset secara tertulis. - Tahap 4: Desain, verifikasi, FAT. SIL yang dicapai dihitung, lalu diuji di pabrik. - Tahap 5: Instalasi dan validasi. Pemeriksaan titik demi titik dan uji fungsi penuh di lokasi. - Tahap 6: Operasi dan kontrol perubahan. Proof test, catatan bypass, dan tinjauan atas setiap modifikasi. ## Salah kaprah yang sering memicu debat di lapangan Empat salah kaprah muncul berulang kali dalam tinjauan desain, umumnya karena istilahnya dipakai longgar dalam percakapan sehari-hari. Daftar ini bukan kritik terhadap teknisi; ia hanya membantu menyamakan bahasa sebelum rapat dimulai. - "ESD" berarti tombol merah. Tombol hanyalah satu pemicu. Fungsi ESD adalah seluruh rantai dari setiap pemicu sampai setiap elemen akhir. - "Valve ber-SIL" berarti loop-nya ber-SIL. Label itu menyatakan kelayakan valve. Loop baru mencapai SIL setelah sensor, logic solver, dan valve dihitung bersama. - "Redundan" berarti aman. Dua transmitter pada impulse line yang sama, atau dengan catu daya yang sama, bisa gagal bersamaan. Redundansi menolong bila kegagalannya independen, atau bila desain sudah memperhitungkan penyebab bersama (common cause). - "Process shutdown" dan "emergency shutdown" sama saja. Banyak pabrik memisahkannya. Process shutdown menghentikan satu unit setelah gangguan operasi, sedangkan emergency shutdown menjawab bahaya dan dapat mengisolasi satu area penuh. Tingkatan dan namanya mengikuti filosofi shutdown milik pemilik, jadi mintalah dokumen itu sebelum membaca matriks cause and effect. ## Menjaga ESD tetap bekerja setelah commissioning Fungsi shutdown mendapatkan SIL-nya di atas kertas dan mempertahankannya, atau kehilangannya, saat beroperasi. Empat kebiasaan yang menentukan. Proof test. Kegagalan berbahaya pada fungsi trip tetap tersembunyi sampai tuntutan berikutnya datang, dan proof test menemukannya. Interval, langkah, dan kriteria lulusnya berasal dari safety requirements specification. Uji dari sensor sampai elemen akhir, termasuk waktu langkah (stroke time) valve dan umpan balik status di SCADA. Partial stroke test menggerakkan valve sebagian di antara uji penuh. Ia menambah cakupan diagnostik tetapi tidak menggantikan uji full stroke, yang di banyak terminal dijadwalkan saat shutdown terencana karena menggerakkan valve jalur akan menghentikan penyaluran produk. Kontrol bypass. Operator kadang menonaktifkan trip saat start-up atau ketika transmitter bermasalah. Setiap bypass perlu izin tertulis, batas waktu, tindakan kompensasi seperti operator yang berjaga, dan indikasi yang terlihat di control room. Bypass yang tidak diingat siapa pun adalah salah satu cara fungsi kehilangan integritasnya tanpa ada peralatan yang rusak. Kontrol perubahan. Mengubah setpoint trip, mengganti transmitter dengan model lain, atau memindahkan sinyal ke kartu yang berbeda adalah modifikasi. IEC 61511 meminta tinjauan sebelum perubahan dan uji ulang sesudahnya. Trip palsu. Setiap shutdown yang tidak diinginkan menghentikan penyaluran produk dan membebani pompa serta valve. Operator yang terus mengalami trip palsu mulai tidak percaya pada sistem lalu mem-bypass-nya. Karena itulah ada voting sensor dan diagnostik yang membedakan transmitter rusak dari kejadian proses yang nyata. - Fungsi dan rujukan: Tag fungsi dan revisi SRS yang menjadi acuan uji. - Siapa, kapan, prosedur mana: Nama penguji, tanggal, prosedur uji, dan revisinya. - Pemeriksaan sensor: Metode yang dipakai: sinyal simulasi atau perubahan proses nyata, dan nilai trip yang terbaca. - Elemen akhir: Waktu langkah valve dan posisi akhir, henti pompa terkonfirmasi. - Alarm dan SCADA: Penyebab first-out, teks alarm, dan status valve seperti yang tampil di operator. - Penyimpangan: Perbaikan, uji ulang, dan setiap bypass yang dipakai selama uji. ## Di mana terminal memakai ESD dan interlock Tidak ada aturan bahwa setiap pompa perlu ESD ber-SIL. Studi bahaya yang memutuskan, berdasarkan apa yang bisa terlepas saat gagal, di mana, dan lapisan lain apa yang ada. Yang hampir selalu ada di terminal adalah sekumpulan kecil pemicu shutdown. ``` Cause P101 XV201 Horn PT201 HH (2oo3) X X X GD301 gas high X X X PB01 pressed X X X Fire alarm, pump X X X ESD power lost X X - ``` Contoh matriks cause and effect untuk stasiun pompa. Tag hanya ilustrasi. Setiap baris adalah penyebab, setiap kolom adalah akibat. Tinjau bersama tim operasi sebelum uji pertama. Interlock di bay pengisian mengerjakan tugas harian: tidak ada preset sebelum grounding terverifikasi, tidak ada aliran kecuali probe overfill menunjukkan kering, tidak ada pelepasan gate sebelum transaksi ditutup. Interlock itu berada di batch controller dan PLC, yang dibahas di panduan batch controller dan panduan filling shed , sedangkan permissive grounding dibahas di grounding dan listrik statis saat pengisian . Pekerjaan Citia di Pertamina Priok menambah contoh jalur pipa. Transmitter tekanan, transmitter suhu, dan detektor gas memberi data ke sistem kontrol, dan nilai di luar batas memicu alarm serta mengirim trip ke shutdown valve. Pemulihan sistem unloading dan backloading itu mencakup HMI, PLC, panel, dan sensor untuk proteksi tersebut. Uji seluruh fungsi, bukan hanya logikanya: Picu shutdown dari sensor lapangan dan amati valve-nya, bukan layar PLC. Catat berapa lama valve menutup dan bandingkan dengan safety requirements specification. Valve yang menutup terlalu lambat tidak melindungi, dan yang menutup terlalu cepat bisa mengirim lonjakan tekanan balik ke sepanjang pipa. Artikel monitoring tekanan pipa menjelaskan lonjakan itu. - Tekanan tinggi atau kebocoran pada pipa transfer atau discharge pompa booster. - Deteksi gas atau api di area pompa atau bay pengisian, dibahas di fire and gas system . - Level tangki high-high, yaitu kasus overfill. - Pergeseran arm atau gerakan kapal pada marine loading arm. - Tombol tekan manual di control room dan di lapangan. ## Istilah dalam artikel ini - ESD (emergency shutdown): Fungsi yang menghentikan peralatan dan mengisolasi proses saat bahaya muncul. - ESDV: Emergency shutdown valve. Valve ini bergerak ke posisi aman yang ditentukan saat sinyal atau dayanya hilang. - Interlock: Logika yang mengizinkan atau menahan aksi tergantung kondisi. - BPCS: Basic process control system: PLC atau DCS yang menjalankan proses sehari-hari. - SIS: Safety instrumented system: sensor, logic solver, dan elemen akhir yang menjalankan fungsi keselamatan. - SIF: Safety instrumented function: satu aksi proteksi dengan target SIL sendiri. - SIL: Safety integrity level, 1 sampai 4: seberapa andal sebuah fungsi keselamatan harus bekerja. - PFDavg: Rata-rata probabilitas gagal saat diminta, ukuran untuk fungsi low demand. - LOPA: Layer of protection analysis: metode yang menilai tiap lapisan proteksi untuk mengetahui sisa risiko. - Proof test: Uji berkala yang menemukan kegagalan berbahaya tersembunyi pada fungsi keselamatan. ## Pertanyaan yang sering diajukan Q: Apa beda ESD dengan interlock biasa? A: ESD membawa seluruh proses atau satu seksi ke kondisi aman saat bahaya muncul, sedangkan interlock biasa hanya mengizinkan atau menahan satu aksi. Interlock start pompa melindungi pompa; ESD menghentikan jalur karena tekanan atau gas mencapai tingkat berbahaya. Keduanya bisa ditulis di PLC yang sama, tetapi hanya ESD yang memikul tugas keselamatan. Q: Apa itu SIL? A: SIL, safety integrity level, adalah angka 1 sampai 4 yang menyatakan seberapa andal sebuah fungsi keselamatan harus bekerja. Setiap kenaikan satu tingkat memperkecil batas rata-rata probabilitas gagal saat diminta sepuluh kali lipat. Level ini berlaku untuk seluruh fungsi, jadi dihitung untuk sensor, logic solver, dan elemen akhir sekaligus. Q: Apakah sistem ESD sama dengan SIS? A: Tidak. ESD menyebut apa yang dilakukan sebuah fungsi, SIS menyebut cara membangun dan membuktikannya. ESD menjadi bagian SIS ketika ditetapkan, dirancang, diverifikasi, dan diuji menurut IEC 61511 dengan target SIL. ESD yang dibangun sebelum itu, atau tanpa target SIL, tetap bekerja tetapi tidak punya bukti tersebut. Q: Apakah setiap pompa BBM butuh ESD? A: Tidak otomatis; studi bahaya yang memutuskan. Pompa yang kegagalannya dapat melepaskan produk mudah terbakar dalam jumlah besar, atau membuat tekanan jalur berlebih, biasanya layak diberi fungsi shutdown, sedangkan pompa transfer kecil dengan proteksi lain mungkin cukup dengan interlock. Keputusan dan alasannya dicatat dalam dokumen keselamatan. Q: Siapa yang menentukan target SIL? A: Pemilik atau operator fasilitas yang menentukan, berdasarkan penilaian risiko seperti HAZOP yang dilanjutkan LOPA atau risk graph. Vendor menyediakan komponen bersertifikat dan data kegagalan, dan integrator memverifikasi fungsi yang dibangun terhadap target. Tidak ada pihak lain yang dapat menerima risiko atas nama pemilik. Q: Bisakah PLC biasa dipakai sebagai logic solver ESD? A: Untuk fungsi dengan target SIL, logic solver harus sesuai untuk SIL itu, biasanya safety PLC bersertifikat IEC 61508. PLC serba guna hanya boleh dipakai bila perancang SIS dapat membenarkannya untuk target tersebut dan menjaganya tetap independen dari sistem kontrol. Logika relay masih umum di terminal yang lebih lama. Q: Seberapa sering ESD harus diuji? A: Intervalnya berasal dari verifikasi SIL dan prosedur pemilik, jadi tidak ada angka tunggal. Interval yang lebih pendek menurunkan PFDavg fungsi, itulah sebabnya interval proof test dituliskan dalam safety requirements specification. Catat setiap pengujian, termasuk waktu penutupan valve. ## Sumber dan bacaan lanjutan 1. IEC 61511-1:2016 Functional safety, safety instrumented systems for the process industry sector, Part 1, International Electrotechnical Commission (IEC), 2016 (https://webstore.iec.ch/en/publication/24241) 2. IEC 61508-1:2010 Functional safety of electrical, electronic and programmable electronic safety-related systems, Part 1, International Electrotechnical Commission (IEC), 2010 (https://webstore.iec.ch/en/publication/5515) 3. Layer of Protection Analysis: Simplified Process Risk Assessment, Center for Chemical Process Safety (CCPS), Wiley, 2001 (https://www.wiley.com/en-us/Layer+of+Protection+Analysis%3A+Simplified+Process+Risk+Assessment-p-9780816908110) 4. Pump emergency shutdown (ESD) at Pertamina Pulau Baai, PT Citia Engineering Indonesia, 2025 (https://citia-engineering.com/en/projects/pertamina-pulau-baai-pump-emergency-shutdown-esd) 5. ESD systems for fuel pipeline operations, PT Citia Engineering Indonesia, 2025 (https://citia-engineering.com/en/news/esd-systems-critical-safety-solutions-for-fuel-pipeline-operations) 6. Cover photo by Tim Regan from Cambridge, UK, CC BY 2.0 (cropped and colour graded), Wikimedia Commons (https://commons.wikimedia.org/wiki/File:Emergency_Stop_Button_(3225255407).jpg) Ingin meninjau logika shutdown di terminal Anda?: Kirim gambaran singkat stasiun pompa atau area pengisian Anda ke siTia, asisten Citia di WhatsApp, dan tim engineering akan menindaklanjutinya. ## Kontak - Perusahaan: PT Citia Engineering Indonesia - siTia - Virtual Assistance: [WhatsApp +62 813-2206-507](https://wa.me/628132206507). siTia menjawab pertanyaan seputar produk, proyek dan permintaan Anda lewat WhatsApp. Balasannya otomatis, lalu tim Citia menindaklanjuti. - Email: services@citiaengineering.com - Telepon / WhatsApp (siTia): +62 813-2206-507 - Lokasi: Bandung, Indonesia [Hubungi Citia](https://citia-engineering.com/id/contact.md) ## Data terstruktur (JSON-LD) ```json { "@context": "https://schema.org", "@graph": [ { "@type": "Organization", "@id": "https://citia-engineering.com/#organization", "name": "Citia Engineering Indonesia", "legalName": "PT Citia Engineering Indonesia", "alternateName": "Citia", "url": "https://citia-engineering.com", "logo": { "@type": "ImageObject", "url": "https://citia-engineering.com/media/citia-logo.png", "width": 950, "height": 328 }, "description": "Citia adalah perusahaan engineering dan integrasi sistem di Bandung, Indonesia. Kami menghubungkan perangkat lapangan, PLC dan SCADA, software terminal dan sistem enterprise, lalu memasang, menguji dan merawatnya.", "email": "services@citiaengineering.com", "telephone": "+62 813-2206-507", "address": { "@type": "PostalAddress", "addressLocality": "Bandung", "addressRegion": "Jawa Barat", "addressCountry": "ID" }, "contactPoint": [ { "@type": "ContactPoint", "contactType": "customer service", "email": "services@citiaengineering.com", "telephone": "+62 813-2206-507", "url": "https://citia-engineering.com/id/contact" }, { "@type": "ContactPoint", "contactType": "customer support", "name": "siTia - Virtual Assistance", "telephone": "+62 813-2206-507", "url": "https://wa.me/628132206507", "areaServed": "ID", "availableLanguage": [ "id", "en" ] } ], "areaServed": { "@type": "Country", "name": "Indonesia" }, "knowsAbout": [ "Sistem otomasi terminal", "Automatic tank gauging (ATG)", "Sistem manajemen tangki", "SCADA", "Programmable logic controller (PLC)", "Modbus", "Instrumentasi lapangan", "Jembatan timbang", "Pemantauan tekanan pipa", "Industrial IoT" ], "brand": [ { "@type": "Brand", "name": "INTEGRA" }, { "@type": "Brand", "name": "CATALYST" } ], "sameAs": [ "https://www.facebook.com/citiaengineering/", "https://www.instagram.com/citiaengineering/" ] }, { "@type": "WebSite", "@id": "https://citia-engineering.com/#website", "url": "https://citia-engineering.com", "name": "Citia Engineering Indonesia", "inLanguage": [ "en", "id" ], "publisher": { "@id": "https://citia-engineering.com/#organization" }, "potentialAction": [ { "@type": "SearchAction", "name": "Search Citia News", "target": { "@type": "EntryPoint", "urlTemplate": "https://citia-engineering.com/en/news?q={search_term_string}" }, "query-input": "required name=search_term_string" }, { "@type": "SearchAction", "name": "Cari di News Citia", "target": { "@type": "EntryPoint", "urlTemplate": "https://citia-engineering.com/id/news?q={search_term_string}" }, "query-input": "required name=search_term_string" } ] }, { "@type": "WebPage", "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#webpage", "url": "https://citia-engineering.com/id/knowledge/esd-sis-interlock", "name": "ESD, SIS, dan interlock: apa bedanya dan apa itu SIL", "description": "Emergency shutdown (ESD) membawa proses ke kondisi aman; dibangun menurut IEC 61511 dengan target SIL, ia menjadi bagian SIS. Bedanya ESD, SIS, dan interlock.", "inLanguage": "id", "isPartOf": { "@id": "https://citia-engineering.com/#website" }, "publisher": { "@id": "https://citia-engineering.com/#organization" }, "about": { "@id": "https://citia-engineering.com/#organization" }, "breadcrumb": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#breadcrumb" }, "dateModified": "2026-11-13", "mainEntity": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#entity" } }, { "@type": "BreadcrumbList", "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#breadcrumb", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Citia", "item": "https://citia-engineering.com/id" }, { "@type": "ListItem", "position": 2, "name": "Pengetahuan", "item": "https://citia-engineering.com/id/knowledge" }, { "@type": "ListItem", "position": 3, "name": "ESD, SIS, dan interlock: apa bedanya dan apa itu SIL", "item": "https://citia-engineering.com/id/knowledge/esd-sis-interlock" } ] }, { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#entity", "url": "https://citia-engineering.com/id/knowledge/esd-sis-interlock", "mainEntityOfPage": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#webpage" }, "@type": "TechArticle", "headline": "ESD, SIS, dan interlock: apa bedanya dan apa itu SIL", "description": "Emergency shutdown (ESD) membawa proses ke kondisi aman; jika dibangun menurut IEC 61511 dengan target SIL, ia menjadi bagian dari safety instrumented system (SIS).", "dateModified": "2026-11-13", "author": { "@id": "https://citia-engineering.com/#organization" }, "publisher": { "@id": "https://citia-engineering.com/#organization" }, "inLanguage": "id", "articleSection": "Keselamatan Proses", "datePublished": "2026-11-13", "image": "https://citia-engineering.com/media/covers/esd-sis-interlock.webp" }, { "@type": "FAQPage", "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#faq", "url": "https://citia-engineering.com/id/knowledge/esd-sis-interlock", "inLanguage": "id", "isPartOf": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#webpage" }, "mainEntity": [ { "@type": "Question", "name": "Apa beda ESD dengan interlock biasa?", "acceptedAnswer": { "@type": "Answer", "text": "ESD membawa seluruh proses atau satu seksi ke kondisi aman saat bahaya muncul, sedangkan interlock biasa hanya mengizinkan atau menahan satu aksi. Interlock start pompa melindungi pompa; ESD menghentikan jalur karena tekanan atau gas mencapai tingkat berbahaya. Keduanya bisa ditulis di PLC yang sama, tetapi hanya ESD yang memikul tugas keselamatan." } }, { "@type": "Question", "name": "Apa itu SIL?", "acceptedAnswer": { "@type": "Answer", "text": "SIL, safety integrity level, adalah angka 1 sampai 4 yang menyatakan seberapa andal sebuah fungsi keselamatan harus bekerja. Setiap kenaikan satu tingkat memperkecil batas rata-rata probabilitas gagal saat diminta sepuluh kali lipat. Level ini berlaku untuk seluruh fungsi, jadi dihitung untuk sensor, logic solver, dan elemen akhir sekaligus." } }, { "@type": "Question", "name": "Apakah sistem ESD sama dengan SIS?", "acceptedAnswer": { "@type": "Answer", "text": "Tidak. ESD menyebut apa yang dilakukan sebuah fungsi, SIS menyebut cara membangun dan membuktikannya. ESD menjadi bagian SIS ketika ditetapkan, dirancang, diverifikasi, dan diuji menurut IEC 61511 dengan target SIL. ESD yang dibangun sebelum itu, atau tanpa target SIL, tetap bekerja tetapi tidak punya bukti tersebut." } }, { "@type": "Question", "name": "Apakah setiap pompa BBM butuh ESD?", "acceptedAnswer": { "@type": "Answer", "text": "Tidak otomatis; studi bahaya yang memutuskan. Pompa yang kegagalannya dapat melepaskan produk mudah terbakar dalam jumlah besar, atau membuat tekanan jalur berlebih, biasanya layak diberi fungsi shutdown, sedangkan pompa transfer kecil dengan proteksi lain mungkin cukup dengan interlock. Keputusan dan alasannya dicatat dalam dokumen keselamatan." } }, { "@type": "Question", "name": "Siapa yang menentukan target SIL?", "acceptedAnswer": { "@type": "Answer", "text": "Pemilik atau operator fasilitas yang menentukan, berdasarkan penilaian risiko seperti HAZOP yang dilanjutkan LOPA atau risk graph. Vendor menyediakan komponen bersertifikat dan data kegagalan, dan integrator memverifikasi fungsi yang dibangun terhadap target. Tidak ada pihak lain yang dapat menerima risiko atas nama pemilik." } }, { "@type": "Question", "name": "Bisakah PLC biasa dipakai sebagai logic solver ESD?", "acceptedAnswer": { "@type": "Answer", "text": "Untuk fungsi dengan target SIL, logic solver harus sesuai untuk SIL itu, biasanya safety PLC bersertifikat IEC 61508. PLC serba guna hanya boleh dipakai bila perancang SIS dapat membenarkannya untuk target tersebut dan menjaganya tetap independen dari sistem kontrol. Logika relay masih umum di terminal yang lebih lama." } }, { "@type": "Question", "name": "Seberapa sering ESD harus diuji?", "acceptedAnswer": { "@type": "Answer", "text": "Intervalnya berasal dari verifikasi SIL dan prosedur pemilik, jadi tidak ada angka tunggal. Interval yang lebih pendek menurunkan PFDavg fungsi, itulah sebabnya interval proof test dituliskan dalam safety requirements specification. Catat setiap pengujian, termasuk waktu penutupan valve." } } ] }, { "@type": "DefinedTermSet", "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary", "url": "https://citia-engineering.com/id/knowledge/esd-sis-interlock", "inLanguage": "id", "isPartOf": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#webpage" }, "name": "Istilah dalam artikel ini", "hasDefinedTerm": [ { "@type": "DefinedTerm", "name": "ESD (emergency shutdown)", "description": "Fungsi yang menghentikan peralatan dan mengisolasi proses saat bahaya muncul.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "ESDV", "description": "Emergency shutdown valve. Valve ini bergerak ke posisi aman yang ditentukan saat sinyal atau dayanya hilang.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "Interlock", "description": "Logika yang mengizinkan atau menahan aksi tergantung kondisi.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "BPCS", "description": "Basic process control system: PLC atau DCS yang menjalankan proses sehari-hari.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "SIS", "description": "Safety instrumented system: sensor, logic solver, dan elemen akhir yang menjalankan fungsi keselamatan.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "SIF", "description": "Safety instrumented function: satu aksi proteksi dengan target SIL sendiri.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "SIL", "description": "Safety integrity level, 1 sampai 4: seberapa andal sebuah fungsi keselamatan harus bekerja.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "PFDavg", "description": "Rata-rata probabilitas gagal saat diminta, ukuran untuk fungsi low demand.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "LOPA", "description": "Layer of protection analysis: metode yang menilai tiap lapisan proteksi untuk mengetahui sisa risiko.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } }, { "@type": "DefinedTerm", "name": "Proof test", "description": "Uji berkala yang menemukan kegagalan berbahaya tersembunyi pada fungsi keselamatan.", "inDefinedTermSet": { "@id": "https://citia-engineering.com/id/knowledge/esd-sis-interlock#glossary" } } ] } ] } ```