Safety Instrumented System (SIS) dirancang untuk menjalankan fungsi keselamatan ketika kondisi proses mencapai keadaan yang membutuhkan tindakan protektif. Namun, dalam kondisi tertentu seperti maintenance, proof testing, commissioning, atau kebutuhan operasi khusus, sebagian fungsi SIS mungkin perlu ditempatkan dalam kondisi bypass.
Tindakan tersebut tidak boleh dianggap sebagai aktivitas operasi biasa. Ketika sebuah bagian SIS dibypass, kemampuan perlindungan otomatis dapat berkurang sehingga diperlukan pengendalian tambahan untuk mempertahankan keselamatan proses.
IEC 61511-1 memberikan persyaratan untuk specification, design, installation, operation, dan maintenance SIS agar sistem dapat dipercaya untuk mencapai atau mempertahankan kondisi aman proses.
Artikel ini membahas prinsip safety bypass dan override, kondisi penggunaannya, compensating measures, authorization, monitoring, time limitation, proof testing, hingga management of change.
Apa Itu Safety Bypass dan Override?
Secara umum, bypass berarti membuat suatu bagian safety function tidak menjalankan fungsi proteksinya seperti pada kondisi normal.
Contohnya:
Normal
Sensor → SIS Logic → Trip → Final Element
Ketika bypass aktif:
Sensor → SIS Monitoring
sementara jalur decision atau tindakan protektif tertentu tidak dijalankan seperti kondisi normal.
Yang perlu diperhatikan adalah bypass tidak seharusnya berarti seluruh informasi dari sensor hilang. Monitoring dan alarm tetap dapat diperlukan agar operator mengetahui kondisi aktual perangkat yang sedang dibypass.
Istilah yang digunakan di industri dapat berbeda, misalnya:
- Bypass
- Override
- Inhibit
- Disable
- Force
- Muting
- Jumpering
Istilah tersebut tidak selalu memiliki arti atau implementasi yang identik pada setiap vendor.
IEC 61511 sebagai Acuan Safety Instrumented System
IEC 61511 merupakan standar sektor proses untuk penerapan functional safety pada Safety Instrumented System.
Standar ini mencakup berbagai tahapan lifecycle SIS, termasuk specification, design, installation, operation, maintenance, dan application programming.
Karena bypass merupakan bagian yang dapat memengaruhi performa SIS, kebutuhan bypass harus dipertimbangkan sebagai bagian dari desain dan lifecycle, bukan sekadar fasilitas yang ditambahkan saat maintenance.
Pada tahap engineering, hal-hal seperti kebutuhan bypass, monitoring, authorization, testing, dan restoration perlu ditentukan sesuai Safety Requirement Specification dan desain sistem.
Bypassing Safety Function
Salah satu prinsip penting safety bypass adalah bahwa kondisi bypass tidak boleh membuat organisasi kehilangan kemampuan untuk mengetahui kondisi field signal secara keseluruhan.
Misalnya sebuah transmitter sedang dibypass untuk maintenance.
Kita dapat menggambarkan:
Field Signal → Monitoring
sementara:
Field Signal → Safety Decision → Temporarily Bypassed
Dengan demikian, operator masih dapat memperoleh informasi mengenai kondisi proses atau perangkat yang relevan.
Bypass harus dipahami sebagai degradasi sementara terhadap protection function, bukan sebagai penghapusan seluruh monitoring.
Inhibit dan Override
Ketiga istilah ini sering digunakan dalam konteks yang berbeda.
Inhibit (Disable) biasanya mencegah suatu signal digunakan dalam bagian tertentu dari logic.
Override (Force) dapat membuat logic menggunakan kondisi atau nilai yang telah ditentukan oleh mekanisme override.
Detail perilaku aktual bergantung pada safety system dan konfigurasinya.
Kondisi Safety Bypass dalam IEC 61511
IEC 61511 memberikan persyaratan khusus untuk pengoperasian dan maintenance ketika bagian SIS berada dalam kondisi bypass.
Salah satu prinsip utamanya adalah bahwa bypass harus dikelola sedemikian rupa sehingga risiko tambahan dapat dikendalikan.
Bypass seharusnya memiliki:
- Alasan yang jelas
- Prosedur
- Authorization
- Indication
- Monitoring
- Time limitation
- Compensating measures
- Restoration
Bypass Tidak Boleh Sembarangan Saat Proses Tetap Beroperasi
Ketika proses tetap berjalan sementara suatu SIS device berada dalam kondisi bypass, IEC 61511 mensyaratkan adanya hazard analysis untuk menentukan apakah compensating measures tersedia dan memberikan risk reduction yang memadai. Prosedur operasi juga harus disediakan sesuai kondisi tersebut.
Artinya, keputusan melakukan bypass tidak boleh hanya berdasarkan:
“Perangkat sedang rusak, jadi kita bypass dulu.”
Harus ada pertimbangan:
Apa bahaya yang dilindungi SIF tersebut?
Apa yang terjadi jika SIF tidak tersedia?
Apa protection layer lain yang masih tersedia?
Apa compensating measure yang digunakan?
Berapa lama proses boleh berada dalam kondisi tersebut?
Pendekatan ini menjadikan bypass sebagai keputusan yang dikendalikan oleh process safety, bukan sekadar keputusan maintenance.
Compensating Measures untuk Mempertahankan Risk Reduction
Ketika SIS berada dalam kondisi bypass atau degraded, diperlukan compensating measures yang telah direncanakan dan didokumentasikan.
Contohnya dapat berupa:
- Redundant equipment
- Tambahan monitoring
- Manual intervention
- Pembatasan kondisi proses
- Pengurangan throughput
- Increased operator surveillance
- Temporary protection
- Prosedur khusus operasi
Kompensasi yang dipilih harus sesuai dengan hazard dan safety requirement yang relevan.
IEC 61511 juga mensyaratkan bahwa prosedur operasi menyediakan informasi mengenai tindakan sebelum, selama, dan setelah bypass, termasuk batas waktu bypass yang diperbolehkan.
Operating Procedure untuk Safety Bypass
Bypass membutuhkan prosedur operasi yang jelas.
Procedure setidaknya perlu menjelaskan:
Before bypass
→ kondisi yang harus dipenuhi
During bypass
→ batas proses dan compensating measures
Before removing bypass
→ pemeriksaan yang harus dilakukan
After removal
→ verifikasi bahwa safety function kembali normal
Selain itu, operator perlu mengetahui safety function apa yang sedang bypass dan apa implikasinya terhadap proses.
Bypass Status Harus Dicatat
IEC 61511 mensyaratkan bahwa status bypass direkam dalam bypass log, serta bypass membutuhkan authorization dan indication.
Informasi yang sebaiknya tersedia antara lain:
| Data | Keterangan |
|---|---|
| Tag | Identitas SIF/device |
| Bypass type | Jenis bypass |
| Reason | Alasan bypass |
| Start time | Waktu aktivasi |
| Duration | Lama bypass |
| Authorized by | Pihak yang memberi otorisasi |
| Compensating measure | Perlindungan pengganti |
| Restoration | Status pengembalian |
| Verification | Status verifikasi |
Dengan dokumentasi tersebut, bypass dapat ditelusuri dan diaudit.
Authorization dan Kompetensi Personel
Bypass tidak boleh menjadi fasilitas yang bebas digunakan oleh siapa saja.
Personel yang terlibat harus memahami:
- Fungsi SIS
- Hazard yang dilindungi
- Trip point
- Safety action
- Cara bypass
- Kondisi kapan bypass diperbolehkan
- Manual shutdown
- Prosedur restoration
IEC 61511 mencantumkan training operator mengenai fungsi SIS, hazard yang dilindungi, serta pengoperasian dan pengelolaan bypass/override.
Akses terhadap fasilitas engineering juga perlu dilindungi.
Bentuknya dapat berupa:
- Password
- Key lock
- Access control
- User authorization
- Configuration management
IEC 61511 juga mengharuskan maintenance/engineering interface memiliki access security protection untuk fungsi seperti test, bypass, maintenance, dan perubahan program.
Manual Shutdown Tidak Boleh Hilang
Ketika bypass dilakukan, fasilitas manual shutdown yang diperlukan tidak boleh ikut dinonaktifkan.
IEC 61511 menyebut bahwa ketika bypass diperlukan, desainnya harus menjaga alarm dan manual shutdown facilities tetap tersedia.
Ini penting karena ketika automatic protection sedang degraded, manual intervention dapat menjadi salah satu lapisan perlindungan yang masih tersedia.
Dalam praktiknya, fasilitas manual shutdown harus tetap mengikuti SRS dan desain SIS yang telah disetujui.
Alarm Harus Tetap Memberikan Informasi
Bypass safety signal tidak seharusnya membuat operator kehilangan informasi tentang kondisi aktual perangkat.
Operator perlu mengetahui:
Signal Normal
atau
Signal Bypassed
atau
Signal Fault
sehingga kondisi SIS dapat dipahami dengan benar.
IEC 61511 juga mensyaratkan operator diberi peringatan mengenai bypass melalui alarm dan/atau operating procedure dalam konteks desain bypass.
Bypass Harus Memiliki Batas Waktu
Bypass bukan kondisi yang ideal untuk dipertahankan tanpa batas.
IEC 61511 menetapkan bahwa maximum time SIS dapat berada dalam bypass selama proses tetap beroperasi harus didefinisikan.
Semakin lama safety function berada dalam kondisi degraded, semakin lama pula protection layer tersebut tidak tersedia dalam konfigurasi normalnya.
Karena itu:
Activate → Monitor → Repair/Test → Restore → Verify
merupakan siklus yang harus dikendalikan.
Bypassing untuk Device Repair dan Proof Testing
Salah satu penggunaan bypass yang umum adalah ketika safety device perlu diperbaiki atau menjalani proof test.
Tujuannya adalah memungkinkan aktivitas maintenance dilakukan tanpa mengganggu keselamatan proses lebih dari yang diperlukan.
Namun, bypass harus disertai compensating measures serta batas waktu yang telah ditentukan.
IEC 61511 juga mensyaratkan SIS dirancang dengan mempertimbangkan kebutuhan maintenance dan testing yang ditetapkan dalam SRS.
Apa Itu Proof Testing?
Proof test merupakan pengujian berkala yang bertujuan menemukan dangerous hidden failure pada SIS.
Jika ditemukan kegagalan, tindakan repair dilakukan agar system kembali memenuhi persyaratan performanya.
Proof testing sangat penting karena tidak semua dangerous failure dapat terdeteksi oleh diagnostic online.
Pada beberapa konfigurasi, online proof testing dapat membutuhkan bypass untuk mencegah trip yang tidak diinginkan selama pengujian.
Force Tidak Sama dengan Bypass atau Override
Ini merupakan bagian yang sangat penting.
Force terhadap input atau output pada programmable electronic SIS bukan otomatis sama dengan fitur bypass/override.
IEC 61511 memberikan pembatasan khusus terhadap forcing pada PE SIS. Untuk forcing tanpa mengeluarkan SIS dari service, diperlukan prosedur dan access security; aktivitas forcing juga perlu diumumkan atau menghasilkan alarm sesuai kebutuhan.
Secara konseptual:
Force
→ memaksa nilai variable/I/O
sedangkan:
Bypass / Override
→ merupakan mekanisme yang dirancang untuk membuat safety function berada dalam kondisi bypass tertentu.
Karena itu, engineer harus memahami perilaku aktual platform yang digunakan.
Maintenance Override, Process Override, dan Startup Override
Tidak semua bypass memiliki tujuan yang sama.
Maintenance Override
Digunakan untuk mendukung maintenance atau proof testing.
Process Override
Digunakan untuk kondisi proses tertentu yang memang membutuhkan bypass dan telah melalui analisis risiko.
Startup Override
Digunakan pada kondisi startup ketika beberapa kondisi proses belum berada pada keadaan operasi normal.
Untuk Process Override dan Startup Override, analisis risiko dan procedural control menjadi sangat penting karena safety function dapat berada dalam kondisi tidak normal sebelum proses mencapai kondisi operasi penuh.
Tidak semua platform menggunakan terminology yang sama, sehingga terminology proyek dan vendor harus selalu dirujuk.
Validasi Bypass
Setelah kondisi bypass selesai, safety function tidak boleh langsung dianggap kembali normal hanya karena bypass telah dilepas.
Harus dilakukan:
Remove Bypass
↓
Restore Equipment
↓
Check Signal
↓
Check Logic
↓
Check Final Element
↓
Verify Safety Function
Dengan demikian, restoration merupakan bagian dari safety activity.
Praktik Engineering untuk Safety Bypass
Implementasi bypass di lapangan sangat bergantung pada kualitas engineering design.
Beberapa hal yang dapat dipertimbangkan sejak design phase:
- Dedicated bypass facility
- Clear indication
- Authorization mechanism
- Time limitation
- Bypass alarm
- Event logging
- HMI indication
- Bypass register
- Restoration logic
- Test procedure
- Compensating measures
Semakin baik fasilitas tersebut dirancang sejak awal, semakin mudah bypass dikendalikan ketika plant sudah beroperasi.
Bypass Management sebagai Bagian dari Process Safety
Safety bypass tidak cukup dikelola hanya oleh maintenance department.
Aktivitas tersebut sebaiknya terhubung dengan:
Process Safety Management
Functional Safety Management
Management of Change
Maintenance Management
dan
Operations Management
Ketika sebuah bypass mengubah kondisi proteksi SIS, organisasi perlu memastikan perubahan tersebut diketahui dan dikelola sesuai proses change management yang berlaku.
IEC 61511 juga menetapkan kebutuhan Management of Change untuk perubahan yang memengaruhi SIS dan persyaratan SIS.
Checklist Safety Bypass dan Override
| Pemeriksaan | Status |
|---|---|
| Safety function yang akan dibypass sudah diidentifikasi | ☐ |
| Alasan bypass sudah ditentukan | ☐ |
| Hazard analysis sudah dilakukan | ☐ |
| Compensating measures tersedia | ☐ |
| Operating procedure tersedia | ☐ |
| Authorization telah diberikan | ☐ |
| Operator mengetahui status bypass | ☐ |
| Alarm/indication tersedia | ☐ |
| Bypass dicatat pada bypass log | ☐ |
| Maximum bypass duration ditentukan | ☐ |
| Manual shutdown tetap tersedia | ☐ |
| Maintenance/proof test selesai | ☐ |
| Bypass telah dilepas | ☐ |
| Safety function telah diverifikasi | ☐ |
| Dokumentasi telah diperbarui | ☐ |
| MOC diterapkan jika diperlukan | ☐ |
Kesimpulan
Safety bypass dan override merupakan fasilitas penting dalam pengoperasian, maintenance, testing, dan commissioning SIS, tetapi penggunaannya harus dikendalikan karena dapat mengurangi fungsi proteksi normal.
IEC 61511 menempatkan bypass dalam konteks yang lebih luas, termasuk hazard analysis, compensating measures, operating procedure, authorization, indication, bypass log, access security, time limitation, maintenance, testing, dan management of change.
Hal penting yang perlu dipahami adalah bahwa Force tidak selalu identik dengan Bypass atau Override. Detail mekanismenya bergantung pada platform SIS dan konfigurasi sistem. IEC 61511 memberikan persyaratan khusus terhadap forcing pada PE SIS sehingga penggunaannya membutuhkan kontrol prosedural dan access security yang sesuai.
Pada akhirnya, pengelolaan bypass yang baik dapat diringkas menjadi:
Identify → Analyze → Compensate → Authorize → Activate → Monitor → Restore → Verify → Record
Dengan pendekatan tersebut, bypass tidak diperlakukan sebagai sekadar fitur software atau maintenance, tetapi sebagai bagian dari Process Safety Management dan Functional Safety Lifecycle.
Tulis Komentar
Bagikan pertanyaan, pengalaman, atau tambahan informasi yang relevan dengan artikel ini.