Keselamatan fungsional mesin: penilaian risiko, interlock pintu, dan tingkat kinerja

Di sebuah laundry komersial skala menengah, seorang operator membuka pintu washer-extractor saat drum masih berputar karena sakelar interlock sedang rusak dan belum diperbaiki. Tangannya masuk ke ruang drum sebelum putaran benar-benar berhenti. Cedera seperti ini tidak memerlukan kelalaian besar: cukup satu sakelar rusak yang dibiarkan dan satu fungsi yang tidak pernah dirancang sebagai fungsi keselamatan. Drum mesin cuci industri dapat berputar hingga ratusan putaran per menit selama ekstraksi, dan setelah daya lepas drum peras dapat meluncur lebih dari satu menit. Air panas dan larutan kimia di dalam bak menambah bahaya yang tidak terlihat dari luar.

Bab tombol dan stop darurat membahas sirkit penghentian darurat dan kategori stop, dan bab kendali motor dengan PLC membahas logika gagal-aman di tingkat program. Yang dibahas di sini adalah cara menilai risiko mesin secara sistematis, menurunkan fungsi keselamatan dan tingkat kinerja yang diperlukan, memilih arsitektur relai keselamatan, serta memahami prinsip kerja interlock pintu dengan pengunci.

Batas pembahasan

Cakupannya mesin laundry komersial bertipe washer-extractor bukaan depan dan mesin industri ringan dengan bahaya mekanis berputar. Pembahasan dibatasi pada desain dan evaluasi fungsi keselamatan elektromekanis; sistem keselamatan terprogram (PLC keselamatan dan perangkat lunaknya) hanya disinggung. Angka komponen dalam contoh kerja adalah ilustrasi. Bab ini bahan pembelajaran, bukan prosedur kerja lapangan, dan tidak memuat cara menonaktifkan atau melewati fungsi keselamatan.

PUIL 2020 Bagian 1, 11.3 k), menyatakan PUIL tidak berlaku untuk peralatan listrik pada mesin, sehingga acuannya standar keselamatan mesin: ISO 12100:2010 untuk penilaian risiko (revisinya masih tahap DIS), ISO 13849-1:2023 (Ed. 4) untuk tingkat kinerja dan kategori, IEC 62061:2021+AMD1:2024 (Ed. 2.1) untuk SIL, ISO 14119:2024 (Ed. 3) untuk interlock pada pelindung, ISO 14118:2017 untuk pencegahan start tak terduga, dan IEC 60204-1:2016+AMD1:2021 untuk perlengkapan listrik mesin. Standar produknya ISO 10472-1:1997 (persyaratan umum) dan ISO 10472-2:1997 (mesin cuci dan washer-extractor), keduanya dikonfirmasi 2022 dan dirujuk tanpa nomor klausul. Teks penuh standar ini tidak dibaca editor; isi yang dikutip berasal dari laman katalog, pratinjau resmi, dan ringkasan sekunder yang ditandai.

Penilaian risiko mesin

Penilaian risiko menurut ISO 12100:2010 dimulai dengan penentuan batas mesin: batas penggunaan (operator terlatih, teknisi, personel pembersih, serta penyalahgunaan yang dapat diperkirakan), batas ruang (zona bahaya), dan batas waktu (seluruh daur hidup mesin). Setelah batas ditetapkan, identifikasi bahaya dilakukan secara sistematis. Pada washer-extractor, bahaya utama meliputi kontak dengan drum berputar saat pintu terbuka, tersiram air panas dan larutan kimia, dan start tak terduga saat teknisi bekerja di dalam ruang drum. Hasilnya dievaluasi, lalu risiko dikurangi dengan urutan rancangan yang aman secara inheren, pelindung dan tindakan proteksi, kemudian informasi penggunaan.

Estimasi risiko mempertimbangkan dua unsur: keparahan cedera (S) dan kemungkinan terjadinya cedera. Kemungkinan itu dipengaruhi frekuensi dan durasi paparan (F), kemungkinan terjadinya peristiwa berbahaya, dan kemungkinan menghindari bahaya (P). ISO 13849-1 memakai S, F, dan P dalam grafik risiko untuk menentukan tingkat kinerja yang diperlukan (required performance level, PLr), yaitu tingkat kinerja minimum yang harus dicapai fungsi keselamatan. Edisi 2023 memisahkan kemungkinan terjadinya peristiwa berbahaya dari P: nilainya umumnya dianggap tinggi, dan bila dapat dibuktikan rendah, PLr boleh diturunkan satu tingkat dengan alasan terdokumentasi (sekunder).

Proses estimasi mengikuti jalur grafik: dimulai dari S, bercabang ke F, kemudian ke P, dan hasilnya PLr. Menurut ringkasan sekunder, hasil jalurnya adalah S1-F1-P1 = a; S1-F1-P2 dan S1-F2-P1 = b; S1-F2-P2 dan S2-F1-P1 = c; S2-F1-P2 dan S2-F2-P1 = d; S2-F2-P2 = e. Grafik ini deterministik: kombinasi parameter yang sama selalu menghasilkan PLr yang sama, sehingga pertimbangan teknik terletak pada pemilihan parameternya. Untuk P, edisi 2023 menyebut kecepatan munculnya bahaya, ruang untuk menghindar, dan keterlihatan bahaya sebagai faktor yang masing-masing sudah cukup untuk memilih P2 (sekunder).

Pengurangan risiko dilakukan dengan menerapkan tindakan perlindungan, termasuk fungsi keselamatan, hingga risiko residual dapat diterima; bila belum, siklus penilaian risiko diulang.

Fungsi keselamatan pada washer-extractor

Fungsi keselamatan adalah fungsi yang dilakukan sistem kendali dengan tujuan menurunkan risiko ke tingkat yang dapat diterima. Bedanya dengan fungsi kendali biasa: kegagalannya langsung berdampak pada keselamatan manusia, tidak berhenti pada gangguan produksi. Karena itu, fungsi keselamatan harus diidentifikasi secara eksplisit, dinilai PLr-nya, dan diwujudkan dengan arsitektur yang memenuhi PL tersebut. Interlock sirkit kendali biasa, relai waktu biasa, dan program PLC standar tidak memenuhi syarat itu. Mesin contoh di sini sama dengan mesin yang komisioningnya dibahas pada bab uji pra-energi dan komisioning, ditambah sensor putaran -B4. Sedikitnya ada empat fungsi keselamatan yang dirancang dan diverifikasi masing-masing:

1. Kunci pintu. Mencegah pintu terbuka saat drum berputar atau saat air berada di atas ambang. Fungsi ini punya dua subfungsi yang diverifikasi terpisah: izin jalan (drum berputar hanya bila pintu terkunci) dan izin buka (kunci dilepas hanya setelah drum diam dan bak kosong). Diwujudkan dengan kunci pintu -B1 yang terkunci pegas dan dibuka hanya oleh modul keselamatan -K4. Kunci tetap terkunci saat daya hilang (prinsip gagal-aman). ISO 10472-2 mensyaratkan pintu drum terkunci selama drum berputar.
2. Pemantau kecepatan nol. Mendeteksi bahwa drum telah benar-benar berhenti sebelum kunci dilepas. Sensor putaran drum -B4 (misalnya sensor induktif pada puli atau poros) memberi pulsa ke -K4, yang menyatakan diam bila tidak ada pulsa selama waktu yang disetel (ilustrasi). Kabel putus atau celah sensor yang melebar juga menghilangkan pulsa dan terbaca diam, sehingga -K4 memantau kewajaran sinyal, dan pada mesin contoh pewaktu keselamatan menjadi syarat kedua. Frekuensi keluaran VFD 0 Hz tidak dipakai sebagai bukti, karena setelah trip atau STO drum meluncur.
3. Pemantau level air. Memastikan air telah terbuang ke bawah ambang sebelum pintu boleh dibuka. Sakelar level -B2 (bak kosong) bekerja terpisah dari sensor level proses dan masuk langsung ke -K4. Fungsi ini mencegah tumpahan air panas saat pintu dibuka.
4. Stop darurat. Menghentikan semua gerakan berbahaya dan mempertahankan keadaan aman lewat relai keselamatan -K1 dengan reset -S4. Integrasinya dengan kunci pintu berarti stop darurat tidak serta-merta membuka kunci selama kecepatan atau level air belum aman.

Setiap fungsi keselamatan memiliki dokumentasi yang menyebutkan kondisi pemicu (keadaan bahaya yang memicu fungsi), respons yang diperlukan (apa yang harus dilakukan sistem), dan persyaratan kinerja (PLr). Dokumentasi ini menjadi dasar verifikasi dan validasi selama komisioning dan pemeliharaan.

Tingkat kinerja dan kategori arsitektur secara praktis

ISO 13849-1:2023 mendefinisikan lima tingkat kinerja (PL): a, b, c, d, dan e, dari frekuensi rata-rata kegagalan berbahaya per jam (PFH) tertinggi pada PL a sampai terendah pada PL e. PL yang dicapai sistem harus sama dengan atau lebih tinggi dari PLr. Pencapaian PL ditentukan bersama oleh kategori arsitektur (B, 1, 2, 3, atau 4), MTTFd (mean time to dangerous failure, waktu rata-rata sampai kegagalan berbahaya), DC (diagnostic coverage, cakupan diagnostik), dan ketahanan terhadap CCF (common cause failure, kegagalan penyebab bersama).

Kolom PL tertinggi diambil dari ringkasan sekunder.

MTTFd adalah waktu rata-rata sampai kegagalan berbahaya satu komponen atau saluran. Nilainya dikelompokkan rendah (3 sampai kurang dari 10 tahun), sedang (10 sampai kurang dari 30 tahun), dan tinggi (30 sampai 100 tahun); nilai saluran di atas 100 tahun (kategori 4: 2.500 tahun) tidak diperhitungkan, karena sistem untuk risiko tinggi tidak boleh hanya bergantung pada keandalan komponen (edisi 2015, sekunder). Untuk komponen yang aus karena dioperasikan, seperti kontaktor dan kunci pintu, MTTFd dihitung dari $B_{10\text{D}}$ dan jumlah operasi per tahun.

DC adalah persentase kegagalan berbahaya yang dapat dideteksi oleh mekanisme diagnostik: tidak ada (di bawah 60 %), rendah (60 sampai kurang dari 90 %), sedang (90 sampai kurang dari 99 %), dan tinggi (99 % ke atas) (sekunder). Contohnya kontak cermin kontaktor yang dibaca relai keselamatan: kontak utama yang terlas terlihat sebagai kontak cermin yang tidak menutup.

CCF adalah kegagalan akibat penyebab tunggal yang memengaruhi kedua saluran sekaligus, misalnya lonjakan tegangan yang merusak kedua relai bersamaan. CCF dimitigasi dengan pemisahan fisik, komponen berbeda jenis, kabel terpisah, dan, menurut edisi 2023, juga proteksi di tingkat sistem seperti filter atau pelindung (sekunder).

Kategori arsitektur bukan satu-satunya penentu PL: kategori menetapkan batas atas, sedangkan PL aktual dihitung dari MTTFd, DC, dan CCF dalam kerangka kategori itu, dengan tabel metode sederhana standar atau perangkat lunak perhitungan. Untuk PL d, kategori 3 dengan MTTFd sedang sampai tinggi dan DC sedang umumnya mencukupi. PLr e dapat dicapai kategori 3 dengan MTTFd tinggi dan DC sedang, atau kategori 4, asalkan PFH hasil hitung berada di bawah $10^{-7}$ per jam (sekunder).

Relai keselamatan: saluran ganda, umpan balik, dan reset manual

Relai keselamatan (-K1 untuk stop darurat dan modul -K4 untuk kunci pintu pada mesin contoh) memiliki dua saluran internal yang dipantau secara silang (cross-monitoring). Jika keadaan kedua saluran berbeda, yang menandakan potensi kegagalan, relai mempertahankan keadaan aman, memberi sinyal diagnostik, dan menolak reset. Masukan dua saluran juga mendeteksi hubung singkat antarkabel yang tidak terlihat oleh satu saluran.

Pada kategori 3 dan 4 keluaran juga dua saluran, misalnya dua kontaktor seri, atau kontaktor jaringan -Q1 bersama STO dua saluran pada VFD -T1 yang tingkat kinerjanya dinyatakan pabrikan. Pemantauan umpan balik kontaktor memakai kontak cermin yang disambung seri ke terminal umpan balik relai. Sebelum reset diterima, sirkit umpan balik harus tertutup, yang membuktikan semua kontak utama terbuka; bila satu kontaktor terlas, reset ditolak dan fungsi keselamatan tidak dapat dipulihkan sampai kegagalan ditangani personel kompeten. PLC boleh membaca kontak cermin lain dari kontaktor yang sama untuk diagnosis dengan waktu pantau 200 ms seperti pada bab kendali motor dengan PLC, tetapi jalur pemutusan tetap melalui relai keselamatan.

Reset manual diperlukan setelah stop darurat dan setelah gangguan. Tombol reset -S4 ditempatkan di luar zona bahaya, di posisi yang memungkinkan operator melihat bahwa tidak ada orang di zona bahaya. Edisi 2023 mempertegas bahwa reset dipicu perubahan sinyal yang dipantau, misalnya tepi turun saat tombol dilepas, sehingga tombol yang macet tertekan tidak menghasilkan reset (sekunder). Reset hanya mengizinkan start: setelah reset, program PLC kembali ke keadaan awal (pola xAwal) dan menunggu perintah start baru.

Interlock pintu dengan pengunci

ISO 14119:2024 membedakan gawai interlock tanpa pengunci (hanya mendeteksi posisi pintu) dan dengan pengunci (guard locking), yang menahan pintu tertutup secara mekanis hingga keadaan aman terpenuhi. Standar itu juga membagi gawai menjadi tipe 1 sampai 4 menurut cara aktuasi (mekanis atau tanpa sentuh) dan ada tidaknya sandi aktuator, dengan tingkat sandi rendah, sedang, dan tinggi; edisi 2024 menambah tipe 5 untuk sistem kunci terperangkap (trapped key). Sakelar berkontak pembuka paksa dan gawai tanpa sentuh bersandi dengan unit pemantaunya dibahas pada bab sensor diskret; sensor proximity otomasi biasa tidak memenuhi fungsi ini.

Untuk washer-extractor, pengunci diperlukan karena bahaya tidak hilang segera saat mesin dimatikan: drum masih berputar karena inersia dan air masih panas. Menurut ringkasan sekunder, pengunci diperlukan bila waktu henti lebih lama daripada waktu orang menjangkau bahaya; ISO 14119:2024 membahas hubungan waktu tanggap dan waktu akses pada klausul 7.2.1. Drum peras contoh berhenti bebas dalam 62,8 s, jauh lebih lama dari waktu tangan menjangkau drum setelah pintu dibuka. Kunci harus dipantau: yang dibaca adalah keadaan terkunci, bukan hanya pintu tertutup.

Kunci pintu -B1 dengan prinsip terkunci pegas bekerja dengan cara berikut: pegas mempertahankan posisi terkunci selama tidak ada arus ke aktuator pembuka. Energi listrik diperlukan untuk membuka kunci, bukan untuk mengunci. Ini penerapan prinsip gagal-aman: hilangnya daya akibat gangguan tidak membuat pintu terbuka, dan pintu tetap terkunci selama drum meluncur. Menurut ulasan sekunder, prinsip ini pilihan untuk perlindungan orang, sedangkan pengunci yang terkunci oleh daya hanya cocok untuk perlindungan proses kecuali ada tindakan tambahan.

ISO 14119:2024 klausul 6.9 mengatur tiga jenis pelepasan manual: pelepasan jalan keluar (escape release) dari dalam area bagi mesin yang dapat dimasuki seluruh badan, pelepasan bantu (auxiliary release) yang memerlukan alat untuk servis, dan pelepasan darurat (emergency release) dari luar untuk keadaan darurat. Pada washer-extractor yang tidak dapat dimasuki orang, yang relevan adalah pelepasan bantu menurut manual mesin, dipakai setelah drum berhenti, misalnya untuk mengeluarkan cucian saat padam. Pelepasan itu dirancang tidak mudah dijangkau dalam operasi normal agar tidak disalahgunakan sebagai penjembatan interlock. Keberadaan dan kondisinya diperiksa dalam pemeliharaan berkala.

Urutan pembukaan kunci yang benar pada mesin contoh:

1. Mesin menerima perintah berhenti, atau siklus selesai.
2. VFD -T1 memperlambat drum dan frekuensi keluarannya turun ke nol; ini belum bukti diam.
3. Sensor putaran -B4 menunjukkan kecepatan nol selama waktu yang disetel (ilustrasi), dibaca oleh -K4.
4. Sakelar level -B2 menunjukkan air di bawah ambang.
5. Modul keselamatan -K4 memberi energi ke aktuator pembuka -B1; pada mesin contoh, pewaktu keselamatan 120 s, dihitung sejak perintah henti atau suplai pulih, juga harus sudah habis.
6. Pintu dapat dibuka operator, dan mesin tidak dapat start selama -B1 tidak terkunci.

Jika syarat 3 atau 4 tidak terpenuhi, langkah 5 tidak terjadi. Bila pelepasan hanya berdasarkan waktu, pewaktunya bagian dari fungsi keselamatan dan harus mencakup keadaan terburuk berhenti bebas; relai waktu biasa tidak memenuhi syarat.

Penjembatanan interlock: mengapa terjadi dan bagaimana mencegahnya

Penjembatanan interlock adalah tindakan menonaktifkan atau melewati fungsi keselamatan secara sengaja, umumnya oleh operator atau teknisi dengan alasan yang tampak masuk akal di lapangan. ISO 14119:2024 mendefinisikan pengakalan (defeat) sebagai tindakan yang dapat diperkirakan, dengan tangan atau benda yang mudah diperoleh, yang membuat gawai interlock tidak bekerja atau terlewati, dan menyediakan satu klausul untuk rancangan yang mengurangi motivasi mengakali. Memahami alasannya adalah langkah pertama merancang sistem yang tahan penjembatanan: tidak cukup dengan larangan, sistem dirancang sehingga penjembatanan tidak diperlukan dan tidak mudah dilakukan.

Alasan produksi. Operator menjembatani interlock karena mesin sering berhenti tidak terduga akibat kegagalan sensor atau komponen yang aus. Target produksi yang ketat membuat menunggu teknisi terasa tidak terjangkau. Jawaban desainnya adalah diagnostik yang baik, sehingga kegagalan terdeteksi dan diperbaiki sebelum operator terdorong mengambil jalan pintas.

Alasan pemeliharaan. Teknisi merasa perlu mengakses zona bahaya saat mesin beroperasi untuk penyetelan atau diagnosis. Jawaban yang benar adalah isolasi energi, penguncian, dan verifikasi keadaan aman menurut Bab 2 · Keselamatan, yang prosedurnya dibahas pada bab kerja aman, dengan ISO 14118:2017 sebagai prinsip rancangan mesin yang mencegah start tak terduga, bukan sebagai prosedur penguncian. Untuk pekerjaan tertentu, pabrikan dapat menyediakan mode pemeliharaan terkendali yang fungsi keselamatannya sudah dinilai tersendiri.

Pencegahan melalui desain. Interlock dirancang sehingga tidak dapat dijembatani dengan alat atau benda yang mudah diperoleh. Aktuator bersandi tingkat tinggi, pemasangan yang tidak dapat dijangkau tanpa membuka panel lain, pengikat yang tidak dapat dilepas dengan alat biasa, dan pemantauan kunci terpisah dari pemantauan posisi pintu adalah beberapa pendekatan teknis. Sistem juga harus mendeteksi aktuator yang tidak terpasang pada posisi yang benar.

Pencegahan melalui prosedur dan pengawasan. Prosedur tertulis yang jelas, pelatihan yang memadai, dan sistem izin kerja yang dijalankan konsisten mengurangi tekanan pada operator untuk mengambil jalan pintas.

Rumus

F2 dipilih bila paparan lebih sering dari sekali per 15 menit; F1 boleh dipilih bila kedua syarat berikut terpenuhi (sekunder):

$$\frac{n\,t_\text{p}}{T} \le \frac{1}{20} \quad \text{dan} \quad \frac{T}{n} \ge 15\ \text{menit}$$

dengan $n$ jumlah paparan dalam periode $T$, $t_\text{p}$ durasi satu paparan, dan $T$ waktu operasi dalam periode yang sama (menit).

Jumlah operasi per tahun dan MTTFd komponen yang aus karena operasi (edisi 2015, sekunder):

$$n_\text{op} = \frac{d_\text{op}\,h_\text{op}\cdot 3\,600}{t_\text{siklus}}, \qquad \text{MTTF}_\text{D} = \frac{B_{10\text{D}}}{0{,}1\,n_\text{op}}, \qquad T_{10\text{D}} = \frac{B_{10\text{D}}}{n_\text{op}}$$

dengan $d_\text{op}$ hari operasi per tahun, $h_\text{op}$ jam operasi per hari, $t_\text{siklus}$ selang rata-rata antara dua operasi (s), $B_{10\text{D}}$ jumlah operasi sampai 10 % sampel gagal berbahaya (data pabrikan), dan $T_{10\text{D}}$ batas waktu pakai komponen (tahun). MTTFd satu saluran dari komponen seri:

$$\frac{1}{\text{MTTF}_\text{D,saluran}} = \sum_{i} \frac{1}{\text{MTTF}_{\text{D},i}}$$

Asumsinya laju kegagalan tetap dan komponen seri; nilai saluran dibatasi 100 tahun (kategori 4: 2.500 tahun) untuk perhitungan. Rentang PFH per PL (per jam): a $10^{-5}$ sampai $<10^{-4}$; b $3 \times 10^{-6}$ sampai $<10^{-5}$; c $10^{-6}$ sampai $<3 \times 10^{-6}$; d $10^{-7}$ sampai $<10^{-6}$; e $10^{-8}$ sampai $<10^{-7}$ (sekunder).

Contoh kerja: mengevaluasi fungsi kunci pintu washer-extractor

Data (ilustrasi). Sebuah washer-extractor bukaan depan kapasitas 25 kg digunakan di laundry komersial dua gilir per hari (8 jam per gilir), enam hari per minggu, 52 minggu per tahun. Pintu diakses operator untuk memuat dan membongkar cucian rata-rata 20 kali per gilir, masing-masing sekitar 3 menit dengan tangan di dalam drum. Konfigurasi yang ada memakai satu sakelar magnet -B1 (satu saluran, tanpa pengunci mekanis, tanpa diagnostik) yang disambung langsung ke jalur koil kontaktor -Q1 motor -M1. Tugasnya mengevaluasi apakah konfigurasi ini memenuhi persyaratan keselamatan fungsional.

Langkah 1: keparahan. S2. Alasan: kontak dengan drum berputar pada kecepatan ekstraksi dapat menyebabkan patah tulang, amputasi, atau kematian. Tidak ada skenario cedera ringan yang realistis pada kecepatan operasi penuh.

Langkah 2: frekuensi dan durasi paparan. Alasan: F dipilih dengan angka, bukan kesan. Selang rata-rata $480/20 = 24$ menit, jadi syarat frekuensi F1 (tidak lebih sering dari sekali per 15 menit) terpenuhi. Paparan total $20 \times 3 = 60$ menit per gilir, yaitu $60/480 = 0{,}125$, lebih besar dari $1/20 = 0{,}05$. Syarat durasi gagal, sehingga dipilih F2.

Langkah 3: kemungkinan menghindar. P2. Alasan: bila kunci gagal, drum yang meluncur tidak selalu terlihat dari luar (kaca pintu kotor atau sudut pandang terbatas), dan tangan yang tertarik drum tidak sempat ditarik kembali. Kecepatan munculnya bahaya dan keterlihatannya masing-masing sudah menunjuk P2.

Langkah 4: PLr. S2-F2-P2 menghasilkan PLr e (sekunder). Kemungkinan terjadinya peristiwa berbahaya tidak diturunkan, karena operator membuka pintu setiap siklus sehingga kunci yang gagal hampir pasti bertemu tangan. Seandainya paparan per bukaan hanya 1 menit ($20/480 = 0{,}042$), F1 terpilih dan PLr menjadi d. Hasil ini peka terhadap data paparan, sehingga data itu diukur dan dicatat, bukan ditebak.

Langkah 5: arsitektur yang ada. Kategori B paling tinggi mencapai PL b. Sakelar magnet tanpa sandi (tipe 3 menurut ISO 14119:2024) dapat dikelabui magnet biasa dan tidak memiliki kontak pembuka paksa; tidak ada pengunci, tidak ada redundansi, dan tidak ada pemantauan umpan balik -Q1. Konfigurasi ini jauh di bawah PLr e.

Langkah 6: rancangan ulang dan hitungan MTTFd. Arah perbaikan (konsep, bukan gambar kerja): kunci pintu -B1 terkunci pegas dengan dua kontak pemantau terkunci, sensor putaran -B4, sakelar level -B2, modul keselamatan -K4, serta keluaran dua saluran: -Q1 dengan kontak cermin ke umpan balik -K4 dan STO dua saluran -T1 yang PL dan PFH-nya dinyatakan pabrikan. Hitungan berikut untuk saluran izin jalan (kontak pemantau kunci dan -Q1), dengan satu pelepasan kunci dan satu jatuhnya -Q1 per bukaan: $d_\text{op} = 6 \times 52 = 312$ hari dan $n_\text{op} = 20 \times 2 \times 312 = 12\,480$. Dengan data ilustrasi $B_{10\text{D}}$ kunci pintu 2.000.000 dan kontaktor 1.000.000:

$$\text{MTTF}_\text{D,kunci} = \frac{2\,000\,000}{0{,}1 \times 12\,480} = 1\,603\ \text{tahun}, \qquad \text{MTTF}_\text{D,kontaktor} = \frac{1\,000\,000}{0{,}1 \times 12\,480} = 801\ \text{tahun}$$$$\text{MTTF}_\text{D,saluran} = \frac{1}{1/1\,603 + 1/801} = 534\ \text{tahun} \;\rightarrow\; 100\ \text{tahun (tinggi)}$$

$T_{10\text{D}}$ kontaktor $= 1\,000\,000/12\,480 = 80$ tahun, lebih dari masa pakai 20 tahun yang diasumsikan standar, jadi tidak perlu penggantian terjadwal karena keausan. Saluran izin buka (-B4, -B2, pewaktu, dan aktuator pembuka -B1) diverifikasi dengan cara yang sama dari data pabrikan. Alasan: MTTFd tinggi adalah syarat perlu, belum cukup.

Langkah 7: kesenjangan dan tindakan. PL aktual lebih rendah dari PLr, sehingga desain ulang diperlukan. Arsitektur minimum adalah kategori 3 dengan MTTFd tinggi, DC sedang atau lebih (kontak cermin dan pemantauan silang kunci), dan langkah CCF yang terpenuhi; PFH gabungan, termasuk PFH -K4 dari pabrikannya, harus di bawah $10^{-7}$ per jam. Bila tidak tercapai, dipakai kategori 4. Mesin dengan konfigurasi lama tidak dioperasikan sampai perbaikan diverifikasi, sesuai kondisi berhenti di bawah.

Contoh kerja lapangan

Contoh di bawah memakai rumus dan aturan bab ini; angka komponen dan keadaan yang bukan dari sumber ditandai angka latihan, dan hitungannya dicatat di peta sumber pengembangan. Verifikasi PL nyata tetap memakai data pabrikan dan metode standar.

Contoh 1: ekstraktor sentrifugal bersiklus pendek. Ekstraktor sentrifugal di laundry sebuah rumah sakit memeras muatan kecil; penutupnya dibuka operator 48 kali per gilir 8 jam, masing-masing 0,4 menit (angka latihan).

$$\frac{T}{n} = \frac{480}{48} = 10\ \text{menit} < 15\ \text{menit}, \qquad \frac{n\,t_\text{p}}{T} = \frac{48 \times 0{,}4}{480} = 0{,}04 \le \frac{1}{20}$$

Syarat durasi terpenuhi, tetapi paparan lebih sering dari sekali per 15 menit, sehingga F2. Dengan S2 dan P2 seperti contoh kerja di atas, jalur S2-F2-P2 memberi PLr e (sekunder). F1 hanya boleh dipilih bila kedua syarat terpenuhi bersama.

Contoh 2: umur pakai sakelar posisi pada operasi 24 jam. Laundry rumah sakit menjalankan mesin 24 jam sehari, 360 hari per tahun, dengan satu operasi sakelar posisi pintu setiap 40 menit; $B_{10\text{D}}$ sakelar 200.000 (angka latihan).

$$n_\text{op} = \frac{360 \times 24 \times 3\,600}{2\,400} = 12\,960, \qquad \text{MTTF}_\text{D} = \frac{200\,000}{0{,}1 \times 12\,960} = 154\ \text{tahun}, \qquad T_{10\text{D}} = \frac{200\,000}{12\,960} = 15{,}4\ \text{tahun}$$

MTTFd dibatasi 100 tahun dan termasuk tinggi, tetapi $T_{10\text{D}}$ lebih pendek dari masa pakai 20 tahun yang diasumsikan standar. Karena itu sakelar dijadwalkan diganti sebelum 15,4 tahun, dan jadwalnya dicatat pada dokumentasi fungsi keselamatan.

Contoh 3: saluran mesin lama dengan tiga komponen seri. Saluran pertama fungsi kunci pintu sebuah mesin lama di laundry hotel terdiri atas kontak pemantau kunci, sakelar posisi pintu, dan kontaktor -Q1 yang tersusun seri, dengan MTTFd 60, 40, dan 50 tahun (angka latihan).

$$\text{MTTF}_\text{D,saluran} = \frac{1}{1/60 + 1/40 + 1/50} = 16{,}2\ \text{tahun}$$

Saluran itu berkelas sedang, walaupun setiap komponennya di atas 30 tahun. Untuk PL d, kategori 3 dengan MTTFd sedang masih mungkin bila DC sedang terbukti dan langkah CCF terpenuhi. Untuk PLr e, jalur kategori 3 pada bab ini memerlukan MTTFd tinggi, sehingga komponen diganti atau arsitekturnya dirancang ulang.

Contoh 4: PFH gabungan fungsi kunci pintu. Pada rancangan ulang contoh kerja di atas, PFH bagian masukan hasil hitung $4 \times 10^{-8}$ per jam, modul -K4 dari pabrikannya $3 \times 10^{-8}$, dan keluaran dua saluran (-Q1 dan STO -T1) $4 \times 10^{-8}$ (angka latihan). Seperti laju kegagalan komponen seri pada rumus saluran, PFH ketiga bagian dijumlahkan:

$$4 \times 10^{-8} + 3 \times 10^{-8} + 4 \times 10^{-8} = 1{,}1 \times 10^{-7}\ \text{per jam}$$

Hasilnya di rentang PL d, sehingga PLr e belum tercapai walaupun setiap bagian sendiri di rentang PL e. Sesuai langkah 7, dipakai kategori 4 atau bagian yang lemah diperbaiki, lalu hitungan diulang; sampai itu, mesin tidak dioperasikan.

Kondisi berhenti

Mesin dengan interlock pintu yang dijembatani atau tidak berfungsi tidak dioperasikan. Target produksi atau ketiadaan teknisi tidak mengubahnya, karena tanpa fungsi itu risiko kembali ke tingkat yang tidak dapat diterima.

Tanda yang termasuk kondisi ini: pintu dapat dibuka saat drum berputar atau air belum terbuang; kunci dilepas hanya oleh relai waktu biasa atau oleh frekuensi 0 Hz VFD; ditemukan magnet, jembatan kabel, atau aktuator cadangan pada gawai interlock; mesin dapat start dengan pintu tidak terkunci; atau relai keselamatan menolak reset karena kontak cermin terlas dan ada upaya melewatinya.

Langkah yang diambil saat kondisi berhenti terdeteksi:

1. Hentikan mesin dan pasang tanda larangan operasi yang jelas.
2. Laporkan ke penanggung jawab teknis.
3. Laksanakan perbaikan korektif sesuai dokumen teknis mesin, dengan isolasi energi, penguncian, dan verifikasi diam serta bebas tegangan menurut Bab 2 · Keselamatan.
4. Verifikasi fungsi keselamatan oleh personel kompeten sebelum mesin diizinkan beroperasi kembali; uji berdaya dilakukan dengan alat berkategori ukur sesuai dan APD.
5. Dokumentasikan seluruh proses.

Verifikasi tidak cukup dengan menyalakan mesin dan melihat apakah ada yang terjadi: setiap jalur keselamatan diuji secara terpisah, seperti urutan yang dibahas pada bab uji pra-energi dan komisioning.

Salah tafsir yang sering terjadi

"Relai keselamatan sama dengan relai biasa yang andal." Relai keselamatan memiliki arsitektur internal yang berbeda: dua saluran yang dipantau silang, pendeteksian kontak terlas (welded contact) lewat umpan balik, dan logika reset yang terkendali. Relai biasa berkualitas tinggi tidak memenuhi persyaratan ini meskipun MTTFd-nya tinggi.

"PL d berarti mesin tidak akan pernah gagal." PL d berarti PFH berada di antara $10^{-7}$ dan $10^{-6}$ per jam, bukan nol. Sistem PL d masih dapat gagal; yang dirancang adalah kegagalan berbahaya jarang terjadi dan sebagian besar kegagalan terdeteksi sebelum menimbulkan bahaya. Pemeliharaan dan pengujian berkala tetap diperlukan.

"Kategori 3 berarti dua komponen identik dipasang paralel." Kategori 3 mensyaratkan dua saluran, tetapi tidak harus identik. Justru komponen berbeda jenis pada dua saluran (diversitas teknologi) dapat mengurangi CCF. Yang wajib adalah kegagalan tunggal tidak menghilangkan fungsi keselamatan dan dideteksi bila dapat dilakukan secara wajar; deteksi pada atau sebelum permintaan berikutnya adalah ciri kategori 4.

"Sensor kecepatan nol sudah cukup tanpa sensor level air." Keduanya merespons bahaya berbeda. Kecepatan nol mencegah cedera mekanis dari drum berputar; level air mencegah tumpahan air panas. Meniadakan salah satu berarti meninggalkan satu jalur bahaya tanpa perlindungan, yang tidak dapat diterima dalam penilaian risiko ISO 12100:2010.

"IEC 62061 dan ISO 13849-1 tidak boleh digunakan bersama." Kedua standar dapat dipakai pada mesin yang sama untuk fungsi keselamatan yang berbeda. IEC 62061:2021 kini mencakup juga teknologi nonlistrik, sehingga pembagian lama "ISO 13849-1 untuk elektromekanis, IEC 62061 untuk elektronik terprogram" tidak lagi tepat.

Hubungan dengan bab lain

Bab 2 memberi arti NO dan NC, Bab 1 · Keselamatan dan Bab 2 · Keselamatan memberi kerangka bahaya dan verifikasi keadaan aman, dan Bab 52 memberi komisioning sebagai pembentukan bukti. Bab tombol dan stop darurat memberi kategori stop dan waktu henti drum 62,8 s, bab relai waktu dan bab pengereman motor memberi larangan relai waktu biasa dan keadaan terburuk 73 s, bab sensor diskret memberi kontak pembuka paksa, dan bab komponen kendali memberi kontak cermin. Bab kendali motor dengan PLC memberi pemantauan umpan balik 200 ms dan pola xAwal, bab parameter VFD memberi bukti kecepatan nol dari sensor, dan bab instalasi VFD memberi STO yang bukan pemisah.

Uji fungsi keselamatan berdaya pada mesin contoh dibahas pada bab uji pra-energi dan komisioning, isolasi dan penguncian pada bab kerja aman, dan penerapan pada seluruh mesin pada bab studi kasus integratif kelistrikan washer-extractor. Aksi mekanik dan ekstraksi mesinnya ada di bab washer-extractor pada rak Laundry.

Latihan dan pembahasan

1. (Hitung) Sebuah ekstraktor sentrifugal beroperasi dua gilir 8 jam, enam hari per minggu. Penutupnya dibuka teknisi dua kali per minggu, masing-masing 10 menit, untuk membersihkan saringan; kegagalan penguncian penutup dapat menyebabkan kontak dengan drum berputar kecepatan tinggi. Tentukan S, F (dengan kriteria angka), P, dan PLr beserta alasannya.
2. (Tafsir) Sistem interlock pintu memakai dua sakelar posisi -B6 dan -B7, masing-masing ke satu saluran relai keselamatan -K1. Relai -K1 memantau kedua saluran secara silang dan membaca kontak cermin dua kontaktor seri -Q4 dan -Q5. Termasuk kategori apa? Parameter apa yang masih perlu diverifikasi agar PL d tercapai? Jelaskan peran CCF.
3. (Tafsir) Seorang teknisi mengusulkan pengunci yang terkunci oleh daya (solenoida menarik untuk mengunci, pegas membuka saat tanpa daya) sebagai pengganti pengunci terkunci pegas pada drum peras contoh. Apa yang terjadi pada kunci saat daya hilang mendadak untuk kedua tipe, dan mana yang sesuai?
4. (Tafsir) Modul -K4 menerima kecepatan nol dari -B4, tetapi sakelar level -B2 menunjukkan air masih di atas ambang. Apakah -K4 boleh memberi energi ke aktuator pembuka -B1? Jelaskan alasan dan konsekuensinya.
5. (Transfer) Operator melaporkan kunci pintu -B1 sering memberi sinyal palsu (terbaca tidak terkunci padahal tertutup), sehingga mesin sering berhenti. Manajer produksi meminta -B1 dijembatani sampai suku cadang tiba dua hari lagi. Evaluasi permintaan ini dan jelaskan tindakan yang benar.
6. (Hitung) Sebuah fungsi keselamatan berkategori 1 memakai satu sakelar keselamatan dengan $B_{10\text{D}} = 1\,000\,000$ (ilustrasi) yang beroperasi 12.480 kali per tahun, tanpa diagnostik. Penilaian risiko menetapkan PLr d. Hitung MTTFd dan kelasnya, lalu tentukan apakah fungsi ini memenuhi syarat.

Kunci jawaban beralasan

1. S2, karena cedera yang mungkin adalah patah tulang, amputasi, atau kematian. Waktu operasi per minggu $2 \times 8 \times 6 = 96$ jam $= 5\,760$ menit; paparan $2 \times 10 = 20$ menit, fraksi $20/5\,760 = 0{,}0035$, di bawah 0,05, dan selang jauh lebih lama dari 15 menit, sehingga F1. P2, karena drum di dalam ruang tertutup tidak selalu terlihat dan menghindar pada kecepatan tinggi hampir tidak mungkin. S2-F1-P2 menghasilkan PLr d. Bila akses menjadi harian dan lama sehingga F2, PLr naik menjadi e.
2. Kategori 3 bila setiap saluran memutus satu kontaktor dan kegagalan tunggal terdeteksi. Yang diverifikasi: (a) MTTFd setiap saluran, sedang sampai tinggi; (b) DC rata-rata: sedang bila MTTFd sedang, rendah cukup bila MTTFd tinggi; (c) langkah CCF menurut Lampiran F ISO 13849-1, misalnya pemisahan kabel dan komponen berbeda jenis. CCF di sini berarti kontaminasi, getaran, atau lonjakan tegangan yang merusak -B6 dan -B7 sekaligus, sehingga kedua saluran gagal bersamaan tanpa terdeteksi.
3. Pengunci yang terkunci oleh daya melepas kunci saat daya hilang, sehingga pintu dapat dibuka selama drum meluncur sampai 62,8 s. Pengunci terkunci pegas tetap terkunci tanpa daya dan hanya terbuka bila -K4 memberi energi setelah kecepatan nol dan air terbuang. Untuk perlindungan orang dipilih terkunci pegas; usulan ditolak.
4. Tidak. Pembukaan memerlukan kecepatan nol DAN bak kosong (logika AND, bukan OR). Tanpa syarat level, pintu dapat dibuka saat air panas dan larutan kimia masih di dalam drum, sehingga operator tersiram dan dapat mengalami luka bakar.
5. Ditolak: interlock yang dijembatani adalah kondisi berhenti. Sinyal palsu ini gagal ke arah aman (mesin berhenti), sedangkan penjembatanan memindahkannya ke arah berbahaya: pintu dapat dibuka saat drum berputar. Mesin dihentikan dan diberi tanda, dilaporkan, lalu penyebab sinyal palsu (penyetelan aktuator, kotoran, kabel, konektor) dicari dalam keadaan terisolasi menurut Bab 2 · Keselamatan. Gawai diganti yang setara dan fungsinya diverifikasi personel kompeten; sampai itu selesai, dipakai mesin lain.
6. $\text{MTTF}_\text{D} = 1\,000\,000/(0{,}1 \times 12\,480) = 801$ tahun, dibatasi 100 tahun, kelas tinggi. Kategori 1 paling tinggi PL c walaupun MTTFd tinggi, karena tidak ada redundansi dan diagnostik, sehingga PLr d tidak terpenuhi. Pilihannya kategori 2 dengan DC sedang dan MTTFd tinggi, atau kategori 3, lalu PFH dihitung dan dibandingkan dengan rentang PL d ($10^{-7}$ sampai $<10^{-6}$ per jam).

Referensi