Keselamatan fungsional mesin: penilaian risiko, interlock pintu, dan tingkat kinerja

Di sebuah laundry komersial, seorang operator membuka pintu washer-extractor saat drum masih berputar karena sakelar interlock rusak dan belum diperbaiki, dan tangannya masuk ke ruang drum sebelum putaran berhenti. Drum mesin cuci industri dapat berputar hingga ratusan putaran per menit selama ekstraksi, dan setelah daya lepas, drum peras di Bab 49 tentang stop darurat meluncur lebih dari satu menit. Air panas dan larutan kimia di dalam bak (Bab 10 · Laundry tentang washer-extractor) menambah bahaya yang tidak terlihat dari luar.

Batas pembahasan

Cakupannya washer-extractor bukaan depan dan mesin industri ringan dengan bahaya mekanis berputar. Pembahasan dibatasi pada fungsi keselamatan elektromekanis; sistem keselamatan terprogram (PLC keselamatan dan perangkat lunaknya) hanya disinggung. Sirkit penghentian darurat dan kategori stop ada di Bab 49, dan logika gagal-aman di tingkat program di Bab 65 tentang kendali motor dengan PLC. Bab ini bahan pembelajaran, bukan prosedur kerja lapangan, dan tidak memuat cara menonaktifkan atau melewati fungsi keselamatan.

PUIL 2020 Bagian 1, 11.3 k), menyatakan PUIL tidak berlaku untuk peralatan listrik pada mesin, sehingga acuannya ISO 12100:2010 untuk penilaian risiko (revisinya masih tahap DIS), ISO 13849-1:2023 untuk tingkat kinerja dan kategori, IEC 62061:2021+AMD1:2024 untuk SIL, ISO 14119:2024 untuk interlock pada pelindung, ISO 14118:2017 untuk pencegahan start tak terduga, dan IEC 60204-1:2016+AMD1:2021 untuk perlengkapan listrik mesin. Standar produknya ISO 10472-1:1997 dan ISO 10472-2:1997 untuk mesin laundry industri, keduanya dikonfirmasi 2022 dan dirujuk tanpa nomor klausul. Grafik risiko, tabel kategori, serta kelas MTTFd dan DC di bab ini belum dicocokkan dengan teks penuh standar.

Penilaian risiko mesin

Penilaian risiko menurut ISO 12100:2010 dimulai dengan menetapkan batas mesin: batas penggunaan (operator terlatih, teknisi, personel pembersih, serta penyalahgunaan yang dapat diperkirakan), batas ruang (zona bahaya), dan batas waktu (seluruh daur hidup mesin). Bahaya lalu diidentifikasi secara sistematis; pada washer-extractor bahaya utamanya drum berputar saat pintu terbuka, tersiram air panas dan larutan kimia, dan start tak terduga saat teknisi bekerja di ruang drum. Hasilnya dievaluasi, lalu risiko dikurangi dengan urutan rancangan yang aman secara inheren, pelindung dan tindakan proteksi (termasuk fungsi keselamatan), kemudian informasi penggunaan, hingga risiko residual dapat diterima; bila belum, siklusnya diulang.

Estimasi risiko mempertimbangkan keparahan cedera (S) dan kemungkinan terjadinya cedera, yang dipengaruhi frekuensi dan durasi paparan (F), kemungkinan terjadinya peristiwa berbahaya, dan kemungkinan menghindari bahaya (P), dengan kriteria pada tabel berikut.

Tingkat kinerja yang diperlukan (required performance level, PLr) adalah tingkat kinerja minimum yang harus dicapai fungsi keselamatan; ISO 13849-1 menurunkannya dari S, F, dan P dengan grafik risiko. Edisi 2023 memisahkan kemungkinan terjadinya peristiwa berbahaya dari P: nilainya umumnya dianggap tinggi, dan bila dapat dibuktikan rendah, PLr boleh diturunkan satu tingkat dengan alasan terdokumentasi.

Jalur grafik bercabang dari S ke F, lalu ke P: S1-F1-P1 = a; S1-F1-P2 dan S1-F2-P1 = b; S1-F2-P2 dan S2-F1-P1 = c; S2-F1-P2 dan S2-F2-P1 = d; S2-F2-P2 = e. Untuk P, edisi 2023 menyebut kecepatan munculnya bahaya, ruang untuk menghindar, dan keterlihatan bahaya sebagai faktor yang masing-masing sudah cukup untuk memilih P2.

Fungsi keselamatan pada washer-extractor

Fungsi keselamatan (safety function) adalah fungsi sistem kendali yang bertujuan menurunkan risiko ke tingkat yang dapat diterima. Fungsi itu harus diidentifikasi secara eksplisit, dinilai PLr-nya, dan diwujudkan dengan arsitektur yang memenuhi PL tersebut. Interlock sirkit kendali biasa, relai waktu biasa, dan program PLC standar tidak memenuhi syarat itu (Bab 48 tentang relai waktu dan Bab 65). Mesin contoh di sini adalah mesin di Bab 74 tentang uji pra-energi dan komisioning, ditambah sensor putaran -B4, dengan sedikitnya empat fungsi keselamatan yang dirancang dan diverifikasi masing-masing:

1. Kunci pintu mencegah pintu terbuka saat drum berputar atau air di atas ambang, dengan dua subfungsi yang diverifikasi terpisah: izin jalan (drum berputar hanya bila pintu terkunci) dan izin buka (kunci dilepas hanya setelah drum diam dan bak kosong). Kunci pintu -B1 terkunci pegas dan dibuka hanya oleh modul keselamatan -K4. ISO 10472-2 mensyaratkan pintu drum terkunci selama drum berputar, seperti dicatat Bab 10 · Laundry.
2. Pemantau kecepatan nol membuktikan drum benar-benar berhenti sebelum kunci dilepas: sensor putaran drum -B4 memberi pulsa ke -K4, yang menyatakan diam bila tidak ada pulsa selama waktu yang disetel. Kabel putus atau celah sensor yang melebar juga menghilangkan pulsa dan terbaca diam, sehingga -K4 memantau kewajaran sinyal, dan pada mesin contoh pewaktu keselamatan menjadi syarat kedua.
3. Pemantau level air: sakelar level -B2 (bak kosong), terpisah dari sensor level proses dan masuk langsung ke -K4, memastikan air telah terbuang ke bawah ambang sebelum pintu boleh dibuka, sehingga air panas tidak tumpah.
4. Stop darurat: relai keselamatan -K1 dengan reset -S4 menghentikan semua gerakan berbahaya dan mempertahankan keadaan aman (Bab 49), tetapi tidak serta-merta membuka kunci selama kecepatan atau level air belum aman.

Setiap fungsi keselamatan didokumentasikan dengan kondisi pemicu, respons yang diperlukan, dan PLr-nya, sebagai dasar verifikasi dan validasi selama komisioning dan pemeliharaan.

Tingkat kinerja dan kategori arsitektur secara praktis

ISO 13849-1:2023 mendefinisikan lima tingkat kinerja (performance level, PL), a sampai e, dari frekuensi rata-rata kegagalan berbahaya per jam (PFH) tertinggi pada PL a sampai terendah pada PL e. PL yang dicapai sistem harus sekurangnya sama dengan PLr. Pencapaiannya ditentukan bersama oleh kategori arsitektur, MTTFd, DC, dan ketahanan terhadap CCF.

MTTFd (mean time to dangerous failure) adalah waktu rata-rata sampai kegagalan berbahaya satu komponen atau saluran; menurut edisi 2015, nilainya dikelompokkan rendah (3 sampai kurang dari 10 tahun), sedang (10 sampai kurang dari 30 tahun), dan tinggi (30 sampai 100 tahun); nilai saluran di atas 100 tahun tidak diperhitungkan, karena sistem untuk risiko tinggi tidak boleh hanya bergantung pada keandalan komponen. Pada kategori 4 batasnya 2.500 tahun per saluran.

DC (diagnostic coverage, cakupan diagnostik) adalah persentase kegagalan berbahaya yang terdeteksi mekanisme diagnostik: tidak ada (di bawah 60 %), rendah (60 sampai kurang dari 90 %), sedang (90 sampai kurang dari 99 %), dan tinggi (99 % ke atas).

CCF (common cause failure) adalah kegagalan akibat penyebab tunggal yang memengaruhi kedua saluran sekaligus, misalnya lonjakan tegangan. CCF dimitigasi dengan pemisahan fisik, komponen berbeda jenis, kabel terpisah, dan, menurut edisi 2023, juga proteksi di tingkat sistem seperti filter atau pelindung.

Kategori menetapkan batas atas PL, sedangkan PL aktual dihitung dari MTTFd, DC, dan CCF dalam kerangka kategori itu, dengan tabel metode sederhana standar atau perangkat lunak perhitungan. Untuk PL d, kategori 3 dengan MTTFd sedang sampai tinggi dan DC sedang umumnya mencukupi. PLr e dapat dicapai kategori 3 dengan MTTFd tinggi dan DC sedang, atau kategori 4, asalkan PFH hasil hitung di bawah $10^{-7}$ per jam.

Relai keselamatan: saluran ganda, umpan balik, dan reset manual

Relai keselamatan (safety relay), pada mesin contoh -K1 untuk stop darurat dan modul -K4 untuk kunci pintu, memiliki dua saluran internal yang dipantau secara silang (cross-monitoring). Jika keadaan kedua saluran berbeda, relai mempertahankan keadaan aman, memberi sinyal diagnostik, dan menolak reset; masukan dua saluran juga mendeteksi hubung singkat antarkabel yang tidak terlihat oleh satu saluran (Bab 49).

Pada kategori 3 dan 4 keluaran juga dua saluran, misalnya dua kontaktor seri, atau kontaktor jaringan -Q1 bersama STO dua saluran pada VFD -T1 yang tingkat kinerjanya dinyatakan pabrikan (Bab 69 tentang instalasi VFD; STO bukan pemisah). Kontak cermin kontaktor disambung seri ke terminal umpan balik relai; kontak utama yang terlas terlihat sebagai kontak cermin yang tidak menutup (Bab 46 tentang komponen kendali). Sebelum reset diterima, sirkit umpan balik harus tertutup, yang membuktikan semua kontak utama terbuka; bila satu kontaktor terlas, reset ditolak dan fungsi keselamatan tidak dapat dipulihkan sampai kegagalan ditangani personel kompeten. PLC boleh membaca kontak cermin lain dari kontaktor yang sama untuk diagnosis dengan waktu pantau 200 ms dari Bab 65, tetapi jalur pemutusan tetap melalui relai keselamatan.

Reset manual diperlukan setelah stop darurat dan setelah gangguan. Tombol reset -S4 ditempatkan di luar zona bahaya, di posisi yang memungkinkan operator melihat bahwa tidak ada orang di zona bahaya. Edisi 2023 mempertegas bahwa reset dipicu perubahan sinyal yang dipantau, misalnya tepi turun saat tombol dilepas, sehingga tombol yang macet tertekan tidak menghasilkan reset. Reset hanya mengizinkan start (Bab 49): program PLC kembali ke keadaan awal dengan pola xAwal dari Bab 65 dan menunggu perintah start baru.

Interlock pintu dengan pengunci

ISO 14119:2024 membedakan gawai interlock tanpa pengunci, yang hanya mendeteksi posisi pintu, dan dengan pengunci (guard locking), yang menahan pintu tertutup secara mekanis hingga keadaan aman terpenuhi. Gawai juga dibagi menjadi tipe 1 sampai 4 menurut cara aktuasi (mekanis atau tanpa sentuh) dan ada tidaknya sandi aktuator, dengan tingkat sandi rendah, sedang, dan tinggi; edisi 2024 menambah tipe 5 untuk sistem kunci terperangkap (trapped key). Sakelar berkontak pembuka paksa dan gawai tanpa sentuh bersandi dengan unit pemantaunya dibahas di Bab 59 tentang sensor diskret; sensor proximity otomasi biasa tidak memenuhi fungsi ini.

Pengunci diperlukan bila waktu henti lebih lama daripada waktu orang menjangkau bahaya; ISO 14119:2024 membahas hubungan waktu tanggap dan waktu akses pada klausul 7.2.1. Pada washer-extractor pengunci diperlukan karena bahaya tidak hilang segera saat mesin dimatikan: drum peras di Bab 49 berhenti bebas dalam 62,8 s, jauh lebih lama dari waktu tangan menjangkau drum setelah pintu dibuka, dan air masih panas. Kunci harus dipantau: yang dibaca adalah keadaan terkunci, bukan hanya pintu tertutup.

Pada kunci -B1 yang terkunci pegas, pegas mempertahankan posisi terkunci selama tidak ada arus ke aktuator pembuka; energi listrik diperlukan untuk membuka kunci, bukan untuk mengunci. Menurut prinsip gagal-aman ini, hilangnya daya akibat gangguan tidak membuat pintu terbuka, dan pintu tetap terkunci selama drum meluncur. Prinsip ini pilihan untuk perlindungan orang, sedangkan pengunci yang terkunci oleh daya hanya cocok untuk perlindungan proses kecuali ada tindakan tambahan.

ISO 14119:2024 klausul 6.9 mengatur tiga jenis pelepasan manual: pelepasan jalan keluar (escape release) dari dalam area bagi mesin yang dapat dimasuki seluruh badan, pelepasan bantu (auxiliary release) yang memerlukan alat untuk servis, dan pelepasan darurat (emergency release) dari luar untuk keadaan darurat. Pada washer-extractor yang tidak dapat dimasuki orang, yang relevan adalah pelepasan bantu menurut manual mesin, dipakai setelah drum berhenti, misalnya saat padam. Pelepasan itu dirancang tidak mudah dijangkau dalam operasi normal agar tidak disalahgunakan sebagai penjembatan interlock, dan keberadaan serta kondisinya diperiksa dalam pemeliharaan berkala.

Urutan pembukaan kunci yang benar pada mesin contoh:

1. Mesin menerima perintah berhenti, atau siklus selesai.
2. VFD -T1 memperlambat drum sampai frekuensi keluarannya nol; frekuensi 0 Hz tidak dipakai sebagai bukti diam, karena setelah trip atau STO drum meluncur (Bab 68 tentang parameter VFD).
3. Sensor putaran -B4 menunjukkan kecepatan nol selama waktu yang disetel, dibaca oleh -K4.
4. Sakelar level -B2 menunjukkan air di bawah ambang.
5. Modul keselamatan -K4 memberi energi ke aktuator pembuka -B1; pada mesin contoh, pewaktu keselamatan 120 s dari Bab 74, dihitung sejak perintah henti atau suplai pulih, juga harus sudah habis.
6. Pintu dapat dibuka operator, dan mesin tidak dapat start selama -B1 tidak terkunci.

Jika syarat 3 atau 4 tidak terpenuhi, langkah 5 tidak terjadi. Bila pelepasan hanya berdasarkan waktu, pewaktunya bagian dari fungsi keselamatan dan harus mencakup keadaan terburuk berhenti bebas, yang pada drum peras contoh 73 s (kategori 1) menurut Bab 55 tentang pengereman motor; relai waktu biasa tidak memenuhi syarat.

Penjembatanan interlock: mengapa terjadi dan bagaimana mencegahnya

Penjembatanan interlock adalah tindakan menonaktifkan atau melewati fungsi keselamatan secara sengaja. ISO 14119:2024 mendefinisikan pengakalan (defeat) sebagai tindakan yang dapat diperkirakan, dengan tangan atau benda yang mudah diperoleh, yang membuat gawai interlock tidak bekerja atau terlewati, dan menyediakan satu klausul untuk rancangan yang mengurangi motivasi mengakali. Larangan saja tidak cukup: sistem dirancang sehingga penjembatanan tidak diperlukan dan tidak mudah dilakukan, dimulai dari memahami alasannya.

Alasan produksi. Mesin yang sering berhenti akibat sensor gagal atau komponen aus, ditambah target produksi yang ketat, mendorong operator menjembatani interlock daripada menunggu teknisi. Jawaban desainnya adalah diagnostik yang baik, sehingga kegagalan terdeteksi dan diperbaiki sebelum operator mengambil jalan pintas. Prosedur tertulis yang jelas, pelatihan yang memadai, dan sistem izin kerja yang dijalankan konsisten juga mengurangi tekanan itu.

Alasan pemeliharaan. Teknisi merasa perlu mengakses zona bahaya saat mesin beroperasi untuk penyetelan atau diagnosis. Jawaban yang benar adalah isolasi energi, penguncian, dan verifikasi keadaan aman menurut Bab 2 · Keselamatan, dengan prosedur di Bab 76 tentang kerja aman; ISO 14118:2017 adalah prinsip rancangan mesin yang mencegah start tak terduga, bukan prosedur penguncian. Untuk pekerjaan tertentu, pabrikan dapat menyediakan mode pemeliharaan terkendali yang fungsi keselamatannya sudah dinilai tersendiri.

Pencegahan melalui desain. Interlock dirancang sehingga tidak dapat dijembatani dengan alat atau benda yang mudah diperoleh: aktuator bersandi tingkat tinggi, pemasangan yang tidak dapat dijangkau tanpa membuka panel lain, pengikat yang tidak dapat dilepas dengan alat biasa, dan pemantauan kunci terpisah dari pemantauan posisi pintu. Sistem juga harus mendeteksi aktuator yang tidak terpasang pada posisi yang benar.

Rumus kriteria paparan, MTTFd, dan PFH

F2 dipilih bila paparan lebih sering dari sekali per 15 menit; F1 boleh dipilih bila kedua syarat berikut terpenuhi:

$$\frac{n\,t_\text{p}}{T} \le \frac{1}{20} \quad \text{dan} \quad \frac{T}{n} \ge 15\ \text{menit}$$

dengan $n$ jumlah paparan dalam periode $T$, $t_\text{p}$ durasi satu paparan, dan $T$ waktu operasi dalam periode yang sama (menit).

Jumlah operasi per tahun dan MTTFd komponen yang aus karena operasi, seperti kontaktor dan kunci pintu, menurut edisi 2015:

$$n_\text{op} = \frac{d_\text{op}\,h_\text{op}\cdot 3\,600}{t_\text{siklus}}, \qquad \text{MTTF}_\text{D} = \frac{B_{10\text{D}}}{0{,}1\,n_\text{op}}, \qquad T_{10\text{D}} = \frac{B_{10\text{D}}}{n_\text{op}}$$

dengan $d_\text{op}$ hari operasi per tahun, $h_\text{op}$ jam operasi per hari, $t_\text{siklus}$ selang rata-rata antara dua operasi (s), $B_{10\text{D}}$ jumlah operasi sampai 10 % sampel gagal berbahaya (data pabrikan), dan $T_{10\text{D}}$ batas waktu pakai komponen (tahun). MTTFd satu saluran dari komponen seri:

$$\frac{1}{\text{MTTF}_\text{D,saluran}} = \sum_{i} \frac{1}{\text{MTTF}_{\text{D},i}}$$

Asumsinya laju kegagalan tetap dan komponen seri. Rentang PFH per PL (per jam): a $10^{-5}$ sampai $<10^{-4}$; b $3\times10^{-6}$ sampai $<10^{-5}$; c $10^{-6}$ sampai $<3\times10^{-6}$; d $10^{-7}$ sampai $<10^{-6}$; e $10^{-8}$ sampai $<10^{-7}$.

Contoh kerja

Angka dalam contoh di bawah adalah angka latihan, kecuali disebut asalnya. Verifikasi PL nyata tetap memakai data pabrikan dan metode standar.

Contoh 1: PLr fungsi kunci pintu washer-extractor. Washer-extractor 25 kg di laundry komersial bekerja dua gilir 8 jam per hari, enam hari per minggu, 52 minggu per tahun. Pintunya dibuka rata-rata 20 kali per gilir, masing-masing sekitar 3 menit dengan tangan operator di dalam drum, dan hanya dipantau satu sakelar magnet -B1 (satu saluran, tanpa pengunci mekanis, tanpa diagnostik) yang disambung langsung ke jalur koil kontaktor -Q1 motor -M1. Keparahannya S2, karena drum berputar pada kecepatan ekstraksi dapat menyebabkan patah tulang, amputasi, atau kematian. F dipilih dengan angka, bukan kesan:

$$\frac{T}{n} = \frac{480}{20} = 24\ \text{menit} \ge 15\ \text{menit}, \qquad \frac{n\,t_\text{p}}{T} = \frac{20 \times 3}{480} = \frac{60}{480} = 0{,}125 > \frac{1}{20} = 0{,}05$$

Syarat frekuensi F1 terpenuhi, tetapi syarat durasi tidak, sehingga F2. P2, karena bila kunci gagal, drum yang meluncur tidak selalu terlihat dari luar dan tangan yang tertarik drum tidak sempat ditarik kembali. Jalur S2-F2-P2 menghasilkan PLr e, tanpa penurunan untuk kemungkinan terjadinya peristiwa berbahaya, karena operator membuka pintu setiap siklus sehingga kunci yang gagal hampir pasti bertemu tangan. Dengan 1 menit per bukaan ($20/480=0{,}042$), F1 terpilih dan PLr menjadi d; karena hasilnya peka, data paparan diukur dan dicatat, bukan ditebak.

Contoh 2: konfigurasi lama dan saluran rancangan ulang. Konfigurasi Contoh 1 berkategori B, yang paling tinggi mencapai PL b, jauh di bawah PLr e, sehingga desain ulang diperlukan. Sakelar magnet tanpa sandi (tipe 3 menurut ISO 14119:2024) dapat dikelabui magnet biasa dan tidak memiliki kontak pembuka paksa, dan tidak ada pengunci, redundansi, atau pemantauan umpan balik -Q1. Arah perbaikan (konsep, bukan gambar kerja): -B1 terkunci pegas dengan dua kontak pemantau terkunci, -B4, -B2, -K4, serta keluaran dua saluran, yaitu -Q1 dengan kontak cermin ke umpan balik -K4 dan STO dua saluran -T1 yang PL dan PFH-nya dinyatakan pabrikan. Saluran izin jalan (kontak pemantau kunci dan -Q1) dihitung dengan satu pelepasan kunci dan satu jatuhnya -Q1 per bukaan, serta $B_{10\text{D}}$ kunci pintu 2.000.000 dan kontaktor 1.000.000:

$$d_\text{op} = 6 \times 52 = 312\ \text{hari}, \qquad n_\text{op} = 20 \times 2 \times 312 = 12\,480$$$$\text{MTTF}_\text{D,kunci} = \frac{2\,000\,000}{0{,}1 \times 12\,480} = 1\,603\ \text{tahun}, \qquad \text{MTTF}_\text{D,kontaktor} = \frac{1\,000\,000}{0{,}1 \times 12\,480} = 801\ \text{tahun}$$$$\text{MTTF}_\text{D,saluran} = \frac{1}{1/1\,603 + 1/801} = 534\ \text{tahun} \;\rightarrow\; 100\ \text{tahun (tinggi)}, \qquad T_{10\text{D,kontaktor}} = \frac{1\,000\,000}{12\,480} = 80\ \text{tahun}$$

$T_{10\text{D}}$ kontaktor lebih dari masa pakai 20 tahun yang diasumsikan standar, jadi tidak perlu penggantian terjadwal karena keausan. Saluran izin buka (-B4, -B2, pewaktu, dan aktuator pembuka -B1) diverifikasi dengan cara yang sama dari data pabrikan. MTTFd tinggi adalah syarat perlu, belum cukup: arsitektur minimum adalah kategori 3 yang juga memenuhi DC sedang atau lebih (kontak cermin dan pemantauan silang kunci), langkah CCF, dan PFH gabungan, termasuk PFH -K4 dari pabrikannya, di bawah $10^{-7}$ per jam; bila tidak tercapai, dipakai kategori 4. Mesin dengan konfigurasi lama tidak dioperasikan sampai perbaikan diverifikasi, sesuai Kondisi berhenti.

Contoh 3: ekstraktor sentrifugal bersiklus pendek. Penutup ekstraktor sentrifugal di laundry rumah sakit dibuka operator 48 kali per gilir 8 jam, masing-masing 0,4 menit.

$$\frac{T}{n} = \frac{480}{48} = 10\ \text{menit} < 15\ \text{menit}, \qquad \frac{n\,t_\text{p}}{T} = \frac{48 \times 0{,}4}{480} = 0{,}04 \le \frac{1}{20}$$

Syarat durasi terpenuhi, tetapi paparan lebih sering dari sekali per 15 menit, sehingga F2 dan, dengan S2 dan P2 seperti Contoh 1, PLr e. F1 hanya boleh dipilih bila kedua syarat terpenuhi bersama.

Contoh 4: umur pakai sakelar posisi pada operasi 24 jam. Mesin di laundry rumah sakit berjalan 24 jam sehari, 360 hari per tahun, dengan satu operasi sakelar posisi pintu setiap 40 menit; $B_{10\text{D}}$ sakelar 200.000.

$$n_\text{op} = \frac{360 \times 24 \times 3\,600}{2\,400} = 12\,960, \qquad \text{MTTF}_\text{D} = \frac{200\,000}{0{,}1 \times 12\,960} = 154\ \text{tahun}, \qquad T_{10\text{D}} = \frac{200\,000}{12\,960} = 15{,}4\ \text{tahun}$$

MTTFd dibatasi 100 tahun dan termasuk tinggi, tetapi $T_{10\text{D}}$ lebih pendek dari masa pakai 20 tahun yang diasumsikan standar, sehingga sakelar dijadwalkan diganti sebelum 15,4 tahun dan jadwalnya dicatat pada dokumentasi fungsi keselamatan.

Contoh 5: saluran mesin lama dengan tiga komponen seri. Saluran pertama fungsi kunci pintu sebuah mesin lama di laundry hotel memuat kontak pemantau kunci, sakelar posisi pintu, dan kontaktor -Q1 secara seri, dengan MTTFd 60, 40, dan 50 tahun.

$$\text{MTTF}_\text{D,saluran} = \frac{1}{1/60 + 1/40 + 1/50} = 16{,}2\ \text{tahun}$$

Saluran itu berkelas sedang, walaupun setiap komponennya di atas 30 tahun. Untuk PL d, kategori 3 dengan MTTFd sedang masih mungkin bila DC sedang terbukti dan langkah CCF terpenuhi; untuk PLr e, jalur kategori 3 pada bab ini memerlukan MTTFd tinggi, sehingga komponen diganti atau arsitekturnya dirancang ulang.

Contoh 6: PFH gabungan fungsi kunci pintu. Pada rancangan ulang Contoh 2, PFH bagian masukan hasil hitung $4\times10^{-8}$ per jam, modul -K4 dari pabrikannya $3\times10^{-8}$, dan keluaran dua saluran (-Q1 dan STO -T1) $4\times10^{-8}$. Seperti laju kegagalan komponen seri, PFH ketiga bagian dijumlahkan:

$$4 \times 10^{-8} + 3 \times 10^{-8} + 4 \times 10^{-8} = 1{,}1 \times 10^{-7}\ \text{per jam}$$

Hasilnya di rentang PL d, sehingga PLr e belum tercapai walaupun setiap bagian sendiri di rentang PL e. Sesuai Contoh 2, dipakai kategori 4 atau bagian yang lemah diperbaiki, lalu hitungan diulang; sampai itu, mesin tidak dioperasikan.

Kondisi berhenti

Mesin dengan interlock pintu yang dijembatani atau tidak berfungsi tidak dioperasikan. Target produksi atau ketiadaan teknisi tidak mengubahnya, karena tanpa fungsi itu risiko kembali ke tingkat yang tidak dapat diterima. Tanda yang termasuk kondisi ini:

1. Pintu dapat dibuka saat drum berputar atau air belum terbuang.
2. Kunci dilepas hanya oleh relai waktu biasa atau oleh frekuensi 0 Hz VFD.
3. Ditemukan magnet, jembatan kabel, atau aktuator cadangan pada gawai interlock.
4. Mesin dapat start dengan pintu tidak terkunci.
5. Relai keselamatan menolak reset karena kontak cermin terlas dan ada upaya melewatinya.

Langkah yang diambil saat kondisi berhenti terdeteksi: hentikan mesin dan pasang tanda larangan operasi yang jelas, lalu laporkan ke penanggung jawab teknis. Laksanakan perbaikan korektif sesuai dokumen teknis mesin, dengan isolasi energi, penguncian, dan verifikasi diam serta bebas tegangan menurut Bab 2 · Keselamatan. Verifikasi fungsi keselamatan oleh personel kompeten sebelum mesin diizinkan beroperasi kembali; uji berdaya dilakukan dengan alat berkategori ukur sesuai dan APD. Dokumentasikan seluruh proses. Verifikasi tidak cukup dengan menyalakan mesin dan melihat apakah ada yang terjadi: setiap jalur keselamatan diuji secara terpisah, seperti urutan di Bab 74.

Salah tafsir yang sering terjadi

Hubungan dengan bab lain

Bab ini juga bertumpu pada Bab 2 tentang NO dan NC, Bab 1 · Keselamatan dan Bab 2 · Keselamatan tentang kerangka bahaya dan verifikasi keadaan aman, dan Bab 52 tentang komisioning sebagai pembentukan bukti. Penerapan pada seluruh mesin ada di Bab 82 tentang studi kasus integratif kelistrikan washer-extractor.

Latihan dan pembahasan

Referensi