Alarm Level HH dan LL: Merancang Interlock yang Aman

Panduan teknis disusun oleh Arvin, METRAVON Instruments. Ditinjau pada September 2026.

Jawaban singkat

Alarm high-high (HH) dan low-low (LL) bukan sekadar dua angka pada HMI. Setiap alarm harus dikaitkan dengan bahaya tertentu, alat pendeteksi yang memadai, tindakan interlock yang jelas, dan metode pengujian yang dapat diulang. HH umumnya mencegah luapan, beban berlebih, atau pelepasan debu. LL dapat melindungi pompa, screw conveyor, rotary valve, atau kontinuitas proses.

Set point harus memberi waktu yang cukup agar proses benar-benar mencapai kondisi aman sebelum batas mekanis terlewati. Untuk konsekuensi berat, pertimbangkan sakelar level independen, catu daya dan jalur sinyal yang sesuai, serta prinsip gagal ke kondisi aman. Rantai proteksi baru dapat dipercaya setelah sensor, kabel, PLC, alarm, dan final element diuji bersama.

Perbedaan H, HH, L, dan LL

Penamaan harus konsisten pada P&ID, cause-and-effect matrix, daftar tag, program PLC, dan HMI. Jangan menyebut alarm operator biasa sebagai HH. Sebaliknya, jangan menyebut perintah trip sebagai H bila konsekuensi dan kebutuhan pengujiannya setara dengan fungsi HH.

Mulai dari skenario bahaya

Untuk level tinggi, tentukan ke mana material akan meluap dan apakah dapat menyebabkan paparan bahan kimia, debu, kebakaran, pencemaran, atau kerusakan struktur. Perhitungkan material yang masih berada di belt conveyor, bucket elevator, screw conveyor, atau pipa pneumatik setelah perintah stop diberikan.

Untuk level rendah, bahaya dapat berupa pompa dry-run, hilangnya lapisan pelindung, feeder kosong, udara masuk ke proses, atau kegagalan batch. Konsekuensi menentukan reliabilitas yang diperlukan. Catatan risk assessment sebaiknya memuat penyebab, dampak, lapisan proteksi yang ada, dan penanggung jawab keputusan.

Menghitung ruang cadangan untuk HH

Volume di atas titik HH harus dapat menampung material yang masuk selama seluruh waktu respons. Waktu tersebut mencakup respons sensor, filter, scan PLC, transmisi, kontaktor atau VFD, penutupan valve, penghentian conveyor, dan waktu jatuh material yang sudah meninggalkan feeder.

Hitung volume minimum dari laju alir maksimum yang kredibel dikalikan total waktu henti, kemudian tambahkan margin untuk ketidakpastian. Jangan memakai laju rata-rata. Pada padatan, pertimbangkan puncak di bawah inlet; pada cairan berbusa, tentukan apakah sensor merespons busa atau permukaan cairan.

Menentukan posisi LL

LL harus menyisakan material yang cukup untuk menghentikan peralatan tanpa dry-run atau kehilangan mutu. Pada hopper, corong pengosongan dapat membuat area dekat outlet kosong sementara dinding masih tertutup material. Sensor di sisi yang mudah dipasang belum tentu mewakili area yang perlu dilindungi.

Perhitungkan waktu respons, volume dalam pipa, kebutuhan priming, dan minimum submergence. Bila pompa atau feeder membutuhkan kondisi start tertentu, logika harus mencegah restart sampai level pulih dan seluruh syarat lain terpenuhi.

Memilih prinsip sakelar level

Vibrating fork cocok untuk banyak cairan dan padatan halus, tetapi densitas minimum, viskositas, buildup, dan ukuran partikel harus diperiksa. Rotary paddle sering digunakan untuk bubuk dan granul; perhatikan torsi, ruang gerak, dan risiko macet. Sensor kapasitif dipengaruhi konstanta dielektrik dan lapisan yang menempel. Float bergantung pada densitas dan ruang gerak.

Tidak ada prinsip yang terbaik untuk semua aplikasi. Data pemilihan harus mencakup material, suhu, tekanan, densitas, konduktivitas, viskositas, ukuran butir, kecenderungan menggumpal, busa, debu, getaran, cleaning, dan hazardous-area classification. Semua wetted part harus kompatibel dengan media dan prosedur pembersihan.

Lokasi dan orientasi pemasangan

Sensor HH harus dijauhkan dari jatuhan material agar tidak menerima benturan atau memberi alarm palsu, tetapi tidak boleh terlalu jauh dari puncak berbahaya. Tinjau sudut diam, pola pengisian, dan geometri vessel. Pelindung hanya digunakan bila tidak membentuk kantong material atau menghalangi deteksi.

Sensor LL di dekat outlet harus menghindari aliran berkecepatan tinggi, rat-holing, dan bridging. Pada tangki beragitator, perhatikan gelombang, vortex, dan blade. Nozzle tidak boleh menahan material di sekitar sensing element. Ikuti orientasi yang direkomendasikan agar produk dapat lepas dari permukaan sensor.

Independensi dan common-cause failure

Jika satu radar digunakan untuk kontrol level dan menghasilkan HH di PLC yang sama, kegagalan konfigurasi, sumber daya, kabel, input, atau program dapat meniadakan kedua fungsi. Sakelar independen mengurangi risiko hanya bila komponen yang rentan tidak seluruhnya dipakai bersama. Tinjau power supply, fuse, I/O, jaringan, junction box, dan logic solver.

Tidak semua aplikasi memerlukan safety instrumented system bersertifikat. Keputusan harus berdasarkan risk assessment dan standar proyek. Bila fungsi memerlukan SIL atau independent protection layer, arsitektur, perhitungan, proof-test interval, bypass, dan management of change harus ditangani oleh personel yang kompeten. Label “SIL capable” pada satu alat tidak menjamin seluruh loop memenuhi SIL.

Prinsip fail-safe

Kehilangan daya, kabel putus, atau sinyal hilang sebaiknya membawa sistem ke kondisi yang telah ditetapkan aman sekaligus menghasilkan diagnostik. Pemilihan normally open atau normally closed harus dilihat bersama catu daya dan logic input. Posisi kontak sensor saja tidak membuktikan bahwa seluruh loop fail-safe.

Final element juga harus mencapai posisi yang dibutuhkan. Spring-return valve mungkin diperlukan, tetapi penutupan mendadak dapat menyebabkan water hammer atau penyumbatan. Urutan berhenti mungkin harus mematikan feeder hulu, mengosongkan conveyor perantara, lalu menutup valve. Logika wajib mengikuti perilaku proses nyata.

Latch, reset, dan restart

Trip HH atau LL yang penting biasanya di-latch agar tidak menghilang saat level baru saja menjauh dari sensor. Reset hanya boleh dilakukan setelah penyebab ditangani, kondisi restart terpenuhi, dan operator memberikan perintah sengaja. Tombol reset tidak boleh digunakan untuk menutupi sensor rusak atau memaksa peralatan berjalan.

Tentukan kondisi saat startup, shutdown, cleaning, maintenance, dan hilangnya komunikasi. Sistem tidak boleh restart otomatis setelah listrik kembali bila hal itu menimbulkan bahaya. Cause-and-effect matrix harus mendokumentasikan permissive, trip, latch, reset, dan indikasi untuk setiap mode.

Bypass yang terkendali

Bypass hanya digunakan untuk pekerjaan yang disetujui, memiliki durasi, indikasi jelas, dan catatan pengguna. Jika proses tetap berjalan, lapisan proteksi pengganti harus sebanding dengan risiko. Bypass yang melewati batas waktu harus menimbulkan alarm dan tidak boleh tersisa tanpa diketahui antarshift.

Sebelum melepas bypass, pastikan sensor, input, logic, dan final element telah dipulihkan. Uji fungsi yang terdampak dan dokumentasikan hasilnya. Hak untuk mengaktifkan bypass harus dibatasi serta ditinjau secara berkala.

Factory acceptance test

FAT memverifikasi tag, jenis output, catu daya, logika PLC, teks HMI, prioritas alarm, dan cause-and-effect matrix. Gunakan skenario normal, HH atau LL aktif, kehilangan daya, kabel putus, dan kegagalan output. Catat versi program dan konfigurasi yang diuji.

FAT tidak membuktikan posisi sensor, kontak dengan material, atau tindakan mekanis di lokasi. Simulasi pada PLC hanya menguji bagian setelah input. Batas ini harus dicatat agar site acceptance test tidak dihilangkan karena FAT telah lulus.

Site acceptance dan proof test

Di lokasi, aktifkan sensing element menggunakan material atau metode representatif dan amati seluruh rantai. Periksa indikator lokal, input PLC, alarm HMI, urutan shutdown, posisi valve, dan waktu respons. Untuk sensor yang sulit dijangkau, desain titik uji aman sejak awal.

Proof test berkala harus mencakup bagian kegagalan yang tidak terdeteksi diagnostik. Intervalnya ditentukan oleh risiko, reliabilitas alat, lingkungan, dan persyaratan setempat. Lingkungan korosif atau buildup berat dapat memerlukan pemeriksaan lebih sering daripada jadwal umum pabrik.

Catatan pengujian

Lembar uji memuat tag, tanggal, pelaksana, kondisi awal, metode aktivasi, titik bekerja dan lepas, alarm, interlock, final element, waktu respons, bypass, dan pemulihan. Catat bagian yang hanya disimulasikan. Deviasi berulang harus dianalisis, bukan sekadar di-reset.

Setelah pengujian, kembalikan semua wiring, enclosure, interlock, dan konfigurasi. Hapus bypass sementara, pastikan peralatan siap operasi, dan serahkan bukti kepada pemilik sistem. Perubahan set point atau logika setelah penerimaan harus melalui management of change.

Evaluasi kinerja alarm selama operasi

Setelah sistem berjalan, tinjau jumlah aktivasi, durasi, pengulangan, respons operator, dan kejadian tanpa tindakan. Alarm yang sering aktif karena fluktuasi normal perlu diperiksa set point, hysteresis, delay, atau kondisi prosesnya. Jangan langsung menambah delay karena alarm yang tampak mengganggu mungkin menunjukkan valve lambat, kapasitas cadangan yang terlalu kecil, atau distribusi material yang berubah.

Setiap trip nyata sebaiknya dibandingkan dengan cause-and-effect matrix dan rekaman proses. Pastikan sumber pengisian benar-benar berhenti, final element mencapai posisi, serta reset tidak dilakukan sebelum bahaya hilang. Tren ini membantu menentukan interval proof test dan kebutuhan perawatan berbasis kondisi. Alarm yang tidak lagi memiliki tindakan harus dihapus melalui prosedur perubahan, bukan dibiarkan sehingga operator terbiasa mengabaikan pesan penting.

Pelatihan operator perlu memakai skenario aktual agar setiap prioritas alarm dipahami secara jelas dan konsisten, termasuk siapa yang merespons, batas waktu tindakan, cara eskalasi, dan bukti yang harus dicatat setelah kondisi kembali normal.

Informasi untuk konsultasi

Sertakan gambar vessel, material, densitas atau viskositas, suhu, tekanan, laju pengisian dan pengosongan maksimum, lokasi pemasangan, bahaya yang dicegah, waktu henti peralatan, sumber daya, jenis output, material wetted part, klasifikasi area, standar proyek, dan foto inlet serta outlet.

Pertanyaan umum

Bisakah sinyal radar yang sama dipakai untuk HH?

Bisa pada risiko rendah bila penilaian mengizinkan. Untuk lapisan proteksi penting, evaluasi sensor independen dan common-cause failure.

Berapa jarak ideal antara H dan HH?

Tidak ada angka universal. Jarak ditentukan oleh laju maksimum, total waktu henti, bentuk permukaan, dan margin ketidakpastian.

Apakah force bit PLC cukup sebagai proof test?

Tidak. Cara itu tidak menguji sensor, kabel, input, dan kontak material. Pengujian penuh harus mencakup seluruh loop.

Catatan teknis. Desain interlock akhir harus mengikuti risk assessment, data proses aktual, dan ketentuan keselamatan yang berlaku di lokasi pemasangan.