Tindakan dan Intervensi Operator dalam Sistem Keselamatan Fungsional

Elemen Manusia Tetap Membentuk Keselamatan Proses

Sistem otomasi terus berkembang di kilang, pembangkit listrik, unit kimia, dan fasilitas lepas pantai. Namun, operator berpengalaman tetap menjadi salah satu variabel paling berpengaruh dalam keselamatan pabrik. Keputusan mereka dapat menghentikan eskalasi sebelum otomasi bereaksi, atau secara tidak sengaja memicu kondisi proses yang berbahaya.

Rekayasa keselamatan fungsional modern tidak lagi menganggap interaksi manusia sebagai pertimbangan sekunder. Standar internasional kini menetapkan tindakan operator sebagai kontributor terukur dalam verifikasi SIL, perhitungan LOPA, dan pengelolaan siklus hidup keselamatan.

Gambar 1. Hubungan waktu keselamatan menentukan apakah respons operator dapat mencegah eskalasi secara efektif.

Mengapa Tindakan Operator Penting dalam Penilaian SIL

Studi keselamatan fungsional membedakan tindakan operator yang menciptakan kondisi berbahaya dari intervensi yang mencegah eskalasi. Pembedaan ini secara langsung memengaruhi perhitungan pengurangan risiko dan target SIL yang diperlukan.

Dalam praktiknya, operator ruang kontrol dapat memicu penyimpangan melalui urutan katup yang salah, aktivasi bypass, atau respons yang terlambat. Sebaliknya, operator yang sama juga dapat berfungsi sebagai penghalang protektif dengan merespons alarm atau memulai prosedur penghentian secara manual.

Skenario-skenario ini tampak serupa secara operasional, tetapi diperlakukan sangat berbeda dalam metodologi IEC 61511 dan CCPS LOPA.

Tindakan Operator versus Intervensi Operator

Tindakan operator biasanya disengaja dan mengikuti prosedur. Tindakan ini dapat mencakup menyalakan peralatan, mengonfirmasi permissive, atau mengaktifkan perintah penghentian darurat. Intervensi biasanya terjadi setelah kondisi abnormal berkembang.

Sebagai contoh, menekan tombol tekan ESD berkabel menjadi bagian dari fungsi keselamatan itu sendiri. Merespons alarm suhu tinggi sebelum kondisi runaway berkembang dapat memenuhi syarat sebagai lapisan proteksi independen.

Tantangan rekayasa terletak pada penentuan apakah tersedia waktu, independensi, dan keandalan yang memadai untuk respons manusia.

Ketika Kesalahan Manusia Menjadi Peristiwa Pemicu

IEC 61511 mendefinisikan peristiwa pemicu sebagai penyimpangan yang mengarahkan proses menuju kondisi berbahaya. Kesalahan manusia sering kali memenuhi definisi ini.

Katup bypass yang terbuka secara tidak sengaja, override pemeliharaan yang tidak tepat, atau kegagalan memulihkan interlock setelah pengujian semuanya dapat menimbulkan permintaan proses pada sistem perlindungan.

Dalam studi LOPA, tindakan ini menerima frekuensi peristiwa pemicu (IEF). Frekuensi yang ditetapkan mencerminkan seberapa sering kesalahan manusia tertentu secara realistis dapat terjadi selama operasi pabrik.

Keandalan Manusia Tidak Pernah Konstan

Kinerja operator berubah dalam kondisi stres, kelelahan, pengelolaan alarm yang buruk, atau beban kerja tinggi. Karena variabilitas ini, studi keselamatan menerapkan asumsi konservatif terhadap keandalan manusia.

Prosedur yang sederhana dan sering dilatih dapat memiliki frekuensi pemicu yang rendah. Intervensi kompleks selama kondisi operasi abnormal menerima nilai yang jauh lebih tinggi.

Gambar 2. Tindakan manusia memengaruhi peristiwa pemicu maupun respons perlindungan dalam studi keselamatan.

Pabrik yang mengoperasikan sistem kontrol terdistribusi lama sering menghadapi risiko faktor manusia tambahan akibat banjir alarm dan tata letak HMI yang tidak konsisten. Banyak fasilitas yang memperbarui platform lama kini mengintegrasikan sistem kontrol DCS modern untuk meningkatkan penentuan prioritas alarm dan visibilitas operator.

Dapatkah Operator Diakui sebagai Lapisan Perlindungan Independen?

Intervensi manual dapat dikategorikan sebagai IPL hanya dalam kondisi yang ketat. Respons tersebut harus tetap independen dari penyebab pemicu, terjadi dalam waktu keselamatan proses yang tersedia, dan mengikuti prosedur operasi yang telah divalidasi.

Standar seperti ISA TR84 dan panduan CCPS biasanya membatasi pengakuan IPL manual karena kinerja manusia pada dasarnya tidak konsisten. Di banyak fasilitas, faktor pengurangan risiko maksimum yang diterima untuk respons operator tetap 10.

Waktu Keselamatan Proses Menentukan Kelayakan

Waktu keselamatan proses yang tersedia menentukan apakah intervensi operator realistis. Jika operator memiliki beberapa menit untuk bereaksi terhadap penyimpangan proses, respons manual mungkin masih dapat diterima.

Jika proses mencapai kondisi tidak aman dalam hitungan detik, otomatisasi menjadi wajib. Tidak ada program pelatihan yang realistis yang dapat secara konsisten menjamin keberhasilan intervensi manual dalam jendela waktu respons yang sangat singkat.

Pembedaan ini menjelaskan mengapa sistem turbin berkecepatan tinggi, aplikasi manajemen burner, dan perlindungan kompresor semakin bergantung pada platform keselamatan khusus, bukan hanya intervensi prosedural.

Tindakan Penghentian Manual di Dalam Batas SIF

Banyak insinyur keliru mengklasifikasikan tindakan penghentian manual sebagai kejadian pemicu. Kenyataannya, aktivasi penghentian darurat yang disengaja sering kali merupakan bagian dari SIF itu sendiri.

IEC 61511 menyatakan dengan jelas bahwa ketika tindakan manual memulai fungsi keselamatan, setiap elemen pendukung termasuk dalam batas SIF. Ini mencakup tombol tekan, pengawatan, penyelesai logika, prosedur operator, dan persyaratan pelatihan.

Pertimbangkan peningkatan tekanan reaktor yang terdeteksi sebelum ambang trip otomatis tercapai. Operator dapat mengenali kebocoran abnormal dan mengaktifkan penghentian secara manual sebelum terjadi eskalasi.

Dalam situasi ini, operator tidak menciptakan bahaya. Tindakan tersebut secara aktif mengurangi risiko dan karena itu termasuk dalam desain fungsi keselamatan.

Gambar 3. Kemampuan penghentian manual sering beroperasi sebagai bagian dari keseluruhan fungsi instrumen keselamatan.

Fasilitas yang menggunakan pengendali keselamatan terintegrasi seperti sistem keselamatan Triconex sering menerapkan jalur penghentian darurat berkabel khusus untuk mengurangi ketergantungan pada lapisan pengendalian proses standar.

Menghubungkan Tindakan Manusia dengan Perhitungan LOPA

Analisis LOPA mengubah skenario operasional menjadi hubungan risiko numerik. Frekuensi kesalahan manusia, kinerja IPL, dan frekuensi kejadian target secara bersama-sama menentukan integritas SIF yang diperlukan.

Dalam proyek nyata, kesalahan operator sering menentukan seberapa sering permintaan perlindungan terjadi. Sistem keselamatan kemudian menyediakan pengurangan risiko yang diperlukan untuk mencapai frekuensi kejadian yang dapat ditoleransi.

Gambar 4. Tindakan manusia memengaruhi tingkat permintaan pemicu dan tingkat integritas SIF yang diperlukan.

Realitas Rekayasa di Dalam Pabrik yang Beroperasi

Studi keselamatan dunia nyata jarang gagal hanya karena matematika. Studi tersebut gagal ketika asumsi tentang kinerja operator menjadi tidak realistis.

Para insinyur terkadang melebih-lebihkan kualitas respons alarm tanpa mempertimbangkan beban kerja, kejadian simultan, atau keterlambatan komunikasi selama kondisi gangguan. IPL yang secara teoretis valid dapat gagal secara operasional jika lingkungan ruang kendali menjadi terlalu terbebani.

Isu ini semakin terlihat ketika pabrik mendorong tingkat produksi yang lebih tinggi dengan model penempatan staf yang lebih ramping.

Keselamatan Fungsional Semakin Berpusat pada Manusia

Tahap berikutnya dalam pengembangan keselamatan fungsional akan sangat berfokus pada interaksi manusia-mesin, bukan hanya perangkat keras. Rasionalisasi alarm, desain HMI ergonomis, dan dukungan pengambilan keputusan operator kini memengaruhi kinerja keselamatan sama besar seperti sensor dan penyelesai logika.

Arsitektur SIS modern sudah mengintegrasikan diagnostik prediktif, pengendalian penangguhan alarm, dan sistem panduan operator. Namun, operator berpengalaman tetap memberikan pertimbangan yang tidak dapat sepenuhnya ditiru oleh otomasi selama kondisi proses yang tidak pasti.

Tren industri sudah jelas: otomasi menangani kecepatan dan konsistensi, sementara operator memberikan penalaran adaptif selama kejadian abnormal.

Pendapat Penulis

Banyak studi SIL masih meremehkan kompleksitas perilaku manusia selama kondisi operasi abnormal. Menetapkan asumsi respons operator yang terlalu optimistis mungkin mengurangi biaya proyek pada awalnya, tetapi menimbulkan risiko operasional tersembunyi.

Fasilitas yang mengejar keandalan lebih tinggi sebaiknya membatasi intervensi manual untuk skenario dengan waktu respons panjang dan operasi dengan permintaan rendah. Proses berkonsekuensi tinggi memerlukan tindakan perlindungan otomatis yang didukung prosedur operator yang disiplin, bukan bergantung padanya.

Strategi keselamatan yang paling kuat menggabungkan otomasi, filosofi operasi yang jelas, manajemen alarm yang realistis, dan pengembangan kompetensi operator secara berkelanjutan.

Oliver Grant | Analis Keselamatan Fungsional Senior

Oliver Grant memiliki pengalaman lebih dari 14 tahun dalam rekayasa keselamatan proses, verifikasi SIL, dan integrasi sistem penghentian. Latar belakangnya mencakup proyek siklus hidup keselamatan yang melibatkan platform Honeywell, Yokogawa, Emerson DeltaV, HIMA, dan Rockwell Automation di fasilitas pemurnian, LNG, dan pembangkitan listrik.