Alarm level tangki high dan high-high: proteksi overfill menurut API 2350

Alarm high memberi tahu operator bahwa tangki mendekati batas isi normal, sedangkan alarm high-high adalah lapisan terakhir sebelum level kritis dan sebaiknya berasal dari sensor yang terpisah dari ATG, seperti yang dianjurkan API 2350.

ATG (Automatic Tank Gauge) pada tangki sudah bisa membangkitkan alarm level, tetapi ATG bisa gagal tanpa tanda, dan alarmnya ikut gagal bersamanya. API Standard 2350, Overfill Prevention for Storage Tanks in Petroleum Facilities, kini edisi ke-5 (2020), memandang pencegahan overfill sebagai satu sistem yang terdiri atas level batas, orang, prosedur, dan perangkat yang independen. Panduan ini menjelaskan level alarm, kategori tangki, cara menentukan titik high-high, dan cara mengujinya.

Jika instrumen yang sama mengukur level sekaligus membangkitkan alarm terakhir, satu kerusakan bisa membuat operator buta pada saat paling genting, biasanya di tengah penerimaan malam hari.

ATG servo bisa macet saat displacer tersangkut di still pipe. ATG radar bisa mengunci pantulan palsu dari nozzle atau heating coil. Gangguan gateway atau catu daya bisa membekukan semua nilai di ruang kontrol. Dalam setiap kasus, level ATG berhenti naik di layar sementara level sebenarnya terus naik, dan alarm high-high yang bersumber dari ATG tidak pernah berbunyi.

Karena itu independen berarti sensor yang terpisah, idealnya juga kabel, catu daya, dan logika alarm yang terpisah, sehingga satu kegagalan tidak menjatuhkan pengukuran dan proteksi sekaligus. Sebagian ATG radar menyediakan kanal kedua yang independen dalam satu housing; Emerson menyebut fungsi 2-in-1 pada Rosemount 5900S sebagai pengukuran level cadangan dan pencegahan overfill. Apakah itu cukup independen untuk satu tangki tertentu adalah keputusan kajian risiko di lokasi, dan alasannya perlu tertulis agar bisa ditinjau ulang saat ada perubahan.

API 2350 tidak meminta perlengkapan yang sama untuk setiap tangki. Standar ini mengelompokkan tangki ke dalam kategori berdasarkan cara fasilitas dijaga, apakah level dipantau di lokasi atau dari jauh, dan cara alarm ditangani.

Edisi ke-5 menambahkan Kategori 0 untuk tangki yang hanya diukur manual, dan memperlakukan automated overfill prevention system (AOPS) sebagai tambahan yang bisa dipasang di atas kategori lain. Tabel di bawah menjelaskan logika tiap kategori dengan bahasa sederhana.

Satu terminal bisa memiliki tangki dengan kategori berbeda, misalnya tangki yang menerima dari kapal pada malam hari dan tangki yang hanya diisi siang hari dengan petugas di lokasi. Untuk kriteria persisnya, pakai teks standar resmi yang dijual API, bukan salinan dari sumber tidak resmi.

Alarm high-high hanya berguna jika setelah berbunyi masih tersisa ruang di tangki agar orang sempat bereaksi. Karena itu setpoint-nya dihitung, bukan ditebak, dan perhitungannya disimpan sebagai dokumen engineering.

Perhitungan dimulai dari critical high lalu bergerak turun. Ambil laju alir penerimaan maksimum untuk tangki itu. Perkirakan waktu respons: berapa lama untuk mendengar alarm, memastikannya, dan mematikan pompa atau menutup valve, termasuk waktu gerak valve. Kalikan laju dengan waktu untuk mendapatkan volume, lalu ubah volume itu menjadi tinggi dengan tabel kalibrasi tangki. Edisi ke-5 API 2350 memberi bobot lebih besar pada waktu reaksi ini, dan lampirannya memandu perhitungannya.

Catat setiap setpoint, dasar perhitungannya, dan tanggalnya di satu register. Saat pompa ditingkatkan kapasitasnya dan laju isi naik, titik high-high harus ikut turun. Kaitan ini mudah terlupa dalam proyek yang hanya menyentuh pompa, karena tim proyek pompa jarang membuka register alarm tangki.

Overfill selalu mendapat perhatian lebih, padahal tangki yang dipompa terlalu rendah juga menimbulkan kerusakan yang mahal. Alarm low dan low-low melindungi peralatan di hilir tangki.

Saat level turun mendekati nozzle hisap, pompa mulai menghisap uap dan berjalan kering, sehingga seal dan bearing rusak. Pada tangki atap apung, pemompaan di bawah level pendaratan atap membuat atap bertumpu pada kakinya dan menciptakan ruang uap di bawahnya. Alarm low memperingatkan operator untuk menghentikan transfer atau berpindah tangki; alarm low-low dapat mematikan pompa lewat interlock, sesuai filosofi operasi yang berlaku.

Setpoint low-low ditentukan dengan cara yang sama seperti high-high, tetapi dari bawah ke atas: level saat kerusakan mulai terjadi, laju aliran keluar, dan waktu yang dibutuhkan untuk berhenti. Catat di register setpoint yang sama, dan uji dengan disiplin yang sama. Dalam praktik, alarm low-low sering terlupa saat uji berkala karena dianggap kurang berbahaya dibanding high-high.

Di lokasi nyata, proteksi overfill berhasil atau gagal karena hal-hal detail yang jarang terlihat di gambar desain: pemilihan sensor, dokumentasi, dan pengujian saat fasilitas tetap beroperasi.

Dalam proyek high-low alarm di Pertamina Lubuk Linggau (Aroja) pada 2024, Citia memasang sistem high-low alarm di tangki timbun dengan sensor radar non-kontak VEGAPULS 6X. Sistem kendali memberi peringatan pada batas alarm high dan low; pada high-high atau low-low sistem dapat memicu alarm atau sinyal interlock sesuai filosofi operasi. Tujuannya mencegah overfill, pompa berjalan kering (dry running), dan kehilangan produk.

Citia INTEGRA HLA mengikuti struktur yang sama: ATG atau sensor level independen, PLC atau SCADA, dan annunciator lokal, dengan setpoint dan respons alarm yang ditetapkan dalam kajian engineering.

Dua proyek lain memperlihatkan sisi pengujian. Dalam proyek emergency shutdown pompa di Pulau Baai pada 2025, wiring diagram dan cause and effect tidak cocok dengan kondisi lapangan. Tim memverifikasi point to point, menyimulasikan logika secara offline, lalu melakukan cut-over saat shutdown terjadwal. Upgrade tank monitoring Cikampek pada 2025 menjalankan loop check dan uji fungsi alarm serta interlock sebelum serah terima. Catatan tentang keandalan alarm level Citia menambahkan sisi perawatan: sensor mengalami drift tanpa kalibrasi rutin.