Intervensi Operator dalam Keselamatan Fungsional: Menyeimbangkan Peran Manusia dan Keutuhan Sistem

Di pabrik proses modern, interaksi antara operator manusia dan sistem kendali otomatis menentukan lanskap keselamatan. Sementara sistem digital seperti teknologi PLC dan DCS menangani tugas rutin, operator manusia memberikan keluwesan yang dibutuhkan untuk pengambilan keputusan yang kompleks. Namun, mengintegrasikan tindakan manusia ke dalam keselamatan fungsional memerlukan pemahaman yang ketat tentang kapan operator berperan sebagai faktor risiko atau sebagai penghalang pelindung.

Menentukan Peran Operator dalam Pengelolaan Risiko

Para profesional industri sering menggunakan istilah "tindakan" dan "intervensi" secara bergantian, namun keduanya mewakili konsep yang berbeda dalam analisis keselamatan. Tindakan operator biasanya merupakan langkah proaktif dalam suatu prosedur. Sebaliknya, intervensi operator adalah langkah reaktif yang diambil untuk mengurangi bahaya yang sedang berkembang.

Membedakan peran ini sangat penting untuk Analisis Lapisan Perlindungan (LOPA) dan menentukan Tingkat Integritas Keselamatan (SIL) yang dibutuhkan untuk Fungsi Instrumentasi Keselamatan (SIF). Salah klasifikasi peran ini menyebabkan perhitungan faktor pengurangan risiko (RRF) yang tidak akurat, yang berpotensi meninggalkan fasilitas kurang terlindungi.

Kapan Kesalahan Manusia Bertindak sebagai Kejadian Pemicu

Menurut IEC 61511, Kejadian Pemicu (IE) adalah setiap kegagalan yang mendorong proses menuju keadaan berbahaya. Ketika operator melakukan kesalahan, seperti membuka katup manual yang salah atau gagal mengikuti urutan mulai, mereka menjadi sumber permintaan.

Dalam penilaian risiko kuantitatif, kami menetapkan Frekuensi Kejadian Pemicu (IEF) untuk kesalahan ini. Berdasarkan data industri dari CCPS dan Exida, frekuensi khas untuk kesalahan manusia yang signifikan adalah 0,1 per tahun. Ini berarti insinyur keselamatan mengharapkan permintaan yang disebabkan manusia pada sistem keselamatan sekali setiap dekade. Karena tindakan ini menyebabkan bahaya, tindakan tersebut tidak dapat dihitung sebagai lapisan perlindungan dalam skenario yang sama.

Kriteria untuk Lapisan Perlindungan Mandiri Manual

Operator dapat dihitung sebagai Lapisan Perlindungan Mandiri (IPL) jika mereka berhasil menghentikan urutan bahaya. Namun, kriteria ketat harus dipenuhi untuk mengklaim kredit ini. Intervensi harus mandiri, artinya orang yang merespons tidak boleh sama dengan orang yang menyebabkan kesalahan.

Selain itu, operator harus memiliki Waktu Keselamatan Proses (PST) yang cukup. Jika sebuah reaktor mencapai keadaan kritis dalam 30 detik, tetapi operator membutuhkan lima menit untuk mencapai katup manual, unsur manusia tidak memberikan pengurangan risiko. Standar umumnya menyarankan bahwa intervensi operator hanya dihitung sebagai IPL yang sah jika PST yang tersedia setidaknya 15 hingga 20 menit, memungkinkan pengenalan alarm dan pergerakan fisik.

Mengintegrasikan Tindakan Manual ke dalam Lingkaran SIF

Dalam beberapa arsitektur otomasi industri, Fungsi Instrumentasi Keselamatan (SIF) mencakup komponen inisiasi manual, seperti sakelar "Tangan-Otomatis" atau tombol Hentikan Darurat (ESD). Berdasarkan IEC 61511-2, jika tindakan manual diperlukan untuk memicu SIF, operator menjadi bagian dari lingkaran keselamatan itu sendiri.

Dalam konteks ini, tombol tekan, kabel, pemecah logika, dan pelatihan operator harus divalidasi bersama. Keandalan SIF kemudian bergantung pada Analisis Keandalan Manusia (HRA). Jika operator gagal menekan tombol, seluruh SIF gagal. Oleh karena itu, SIF manual jarang diberi peringkat lebih tinggi dari SIL 1 karena variabilitas kinerja manusia yang melekat di bawah tekanan.

Menghitung SIL Target Menggunakan Data Operator

Dalam perhitungan LOPA, kami menentukan PFD target (Probabilitas Kegagalan Saat Diminta) untuk SIF dengan mengevaluasi IEF dan IPL yang ada. Pertimbangkan skenario di mana tangki meluap menyebabkan kebocoran beracun. Jika IEF untuk kesalahan operator adalah 0,1/tahun dan frekuensi kejadian yang dapat ditoleransi (TEF) adalah 0,001/tahun, sistem memerlukan Faktor Pengurangan Risiko total sebesar 100.

Jika alarm tingkat tinggi memberikan satu IPL dengan PFD 0,1, perlindungan yang tersisa harus ditangani oleh SIF otomatis. Perhitungan ($10^{-3} / (0.1 \times 0.1) = 0.1$) menunjukkan bahwa SIF SIL 1 diperlukan untuk menjembatani celah keselamatan. Pendekatan matematis ini memastikan keterbatasan manusia diperhitungkan secara objektif dalam desain pabrik.

Meningkatkan Keandalan Manusia Melalui Desain Antarmuka yang Lebih Baik

Untuk memaksimalkan efektivitas intervensi operator, ergonomi ruang kendali harus diprioritaskan. Desain HMI (Antarmuka Manusia-Mesin) berkinerja tinggi mengurangi beban kognitif dan mencegah "kelelahan alarm." Ketika DCS menampilkan terlalu banyak alarm prioritas rendah, operator mungkin melewatkan sinyal penting yang diperlukan untuk mencegah bencana.

Wawasan Penulis: Dari pengalaman saya, sistem keselamatan yang paling kuat tidak berusaha menggantikan operator tetapi mendukung mereka. Sementara otomasi unggul dalam kecepatan dan konsistensi, ia tidak memiliki "kesadaran situasi" dari operator berpengalaman. Oleh karena itu, tujuan keselamatan fungsional adalah mengotomasi respons berkecepatan tinggi sambil memberikan data yang jelas dan dapat ditindaklanjuti kepada operator untuk tren yang berkembang lebih lambat.