## FAULT TREE ANALYSIS (FTA) POTENSI LEDAKAN GAS HIDROGEN
PADA SISTEM TUNGKU REDUKSI ME-11 PROSES PEMBUATAN BAHAN BAKAR NUKLIR PLTN

## Achmad Suntoro
Pusat Rekayasa Perangkat Nuklir – BATAN
Kawasan Puspiptek, Serpong, Tangerang Selatan 15314
E-mail: suntoro@batan.go.id
(Naskah diterima tanggal: 13 April 2012, disetujui tanggal: 23 Mei 2012)

## ABSTRAK
FAULT  TREE  ANALYSIS  (FTA)  POTENSI  LEDAKAN  GAS  HIDROGEN  PADA  SISTEM TUNGKU  REDUKSI  ME-11  PROSES  PEMBUATAN  BAHAN  BAKAR  NUKLIR  PLTN .  Telah dibuat  diagram Fault  Tree  Analysis (FTA)    untuk  potensi  ledakan  gas  hidrogen  pada  tungku reduksi ME-11 setelah kendali logik-nya ditambah (modifikasi). Diagram FTA ini dapat digunakan sebagai informasi tambahan dalam pembuatan program perawatan berkala dan langkah operasi dari tungku tersebut. Bertemunya dua kondisi yaitu pemicu ledakan dan komposisi gas hidrogen yang  berpotensi  meledak  adalah  fokus  pencarian  dalam  FTA  ini,  dan  dilakukan  dengan  cara mengurai  dan  merunut  sistem  tungku  hingga  ke  penyebab  awal  dari  dua  kondisi  tersebut  bisa terjadi dalam waktu yang bersamaan. Dua lokasi berpotensi meledak teridentifikasi yaitu di ruang tungku  dan  di  ruang  pembakaran  gas  buang.  Kemungkinan  pemicu  ledakan  hanya  berasal  dari letikan  api,  api,  dan  benda  panas,  karena  ME-11  tidak  menggunakan  gas  hidrogen  bertekanan tinggi.  Namun  demikian  pemicu  ledakan  tersebut  menjadi  bagian  dari  proses  reduksi  yang berjalan,  sehingga  komposisi  volume  gas  hidrogen  selama  proses  berlangsung  harus  selalu diwaspadai.
Kata kunci: fault tree analysis , tungku reduksi, potensi ledakan hydrogen, pemicu ledakan hydrogen.

## ABSTRACT
A  FAULT  TREE  ANALYSIS  (FTA)  OF  HYDROGEN  EXPLOSION  POTENTIALITY  ON REDUCTION  FURNACE  ME-11  IN  NUCLEAR  POWER  FUEL  ELEMENT  FABRICATION PROCESS. Fault Tree Analysis  (FTA) diagrams for the potentiality of hydrogen gas explosion  in reduction  furnace  of  ME-11  has  been  created  after  modification  of  its  logic  control.  These  FTA diagrams  can  be  used  as  additional  information  in  designing  preventive  maintenance  program and  operational  steps  of  the  furnace.  The  encountering  of  two  conditions, i.e.  explosion  ignition and the potentially explosive of hydrogen gas, is the search focus of the FTA, and it may be done by breaking and tracing down to any possibility of initial causes for these two conditions to occur coincidently. Two locations of the potentially explosive area were identified: furnace chamber and combustion chamber of the exhaust gas. The possible explosion ignitions for the furnace are only from spark, fire and hot material because the operation of the furnace does not use high-pressure hydrogen.  However,  these  explosion  ignitions  are  part  of  the  on  going  reduction  process,
(Achmad Suntoro)
therefore it is important that the hydrogen gas volume composition during the process always be supervised.
Keywords:  Fault  Tree  Analysis,  reduction  furnace,  hydrogen  explosion  potentiality,  hydrogen explotion ignition.

## PENDAHULUAN
Gambar 1. Siklus operasi pembuatan bahan bakar nuklir.
Bagan  umum  posisi  tungku  kalsinasi dan reduksi ME-11 pada proses pembuatan bahan  bakar  nuklir  reaktor  daya  (PLTN)  di Pusat  Teknologi  Bahan  Bakar  Nuklir  - BATAN  adalah  seperti  pada  Gambar  1. Proses  kalsinasi  dan  reduksi  tersebut digunakan untuk daur ulang produk gagalan pelet bahan bakar, sehingga produk gagalan tersebut  dapat  diproses  kembali  menjadi bahan  bakar  yang  memenuhi  persyaratan. Proses  kalsinasi  dilakukan  untuk  merubah pelet  UO 2 (produk  gagalan)  menjadi  serbuk U 3 O 8 dan  proses  reduksi  untuk  merubah serbuk  U 3 O 8 tersebut  menjadi  serbuk  UO 2 sehinga  dapat  diproses  kembali  menjadi pelet  yang  memenuhi  persyaratan.  Proses kalsinasi  menggunakan  atmosfir  udara  dan proses  reduksi  menggunakan  atmosfir  gas hidrogen.
Dalam proses yang melibatkan penggunaan gas hidrogen, prediksi
terjadinya  kecelakaan  perlu  dikembangkan sehingga  antisipasi  yang  tepat  dapat disiapkan.  Sebuah  survey  menggunakan Major  Hazard  Incident  Database (MHIDAS), dari 81 kecelakaan yang melibatkan penggunaan hidrogen diperoleh data bahwa 86.3%  tidak  teridentifikasi  penyebabnya [1] .
Teridentifikasinya
penyebab
suatu
kecelakaan  merupakan  informasi  berharga dalam  proses  disain,  untuk  membuat  agar disain  yang  dibuat  menjadi  lebih  baik. Keberadaan  dokumen  prediksi  kecelakaan dapat  membantu  dalam  proses  identifikasi penyebab suatu kecelakaan, dan Fault Tree Analysis (FTA)  merupakan  salah  satu bentuk dokumen prediksi kecelakaan. Dilaporkan di [2], telah terjadi kebocoran gas hidrogen  di  suatu plant di  tahun  1991,  dan sistem  alaram  akibat  kebocoran  tersebut telah  aktif,  namun  operator  sedang  tidak ditempat. Sangat  beruntung  saat  itu  tidak
Serbuk UO 2 Peletisasi serbuk
UO 2 Elemen Bakar Nuklir Kalsinasi dan Reduksi (Tungku ME-11) PLTN Gagalan pelet UO 2
ada pemicu ledakan disekitar plant, sehingga  ledakan  tidak  terjadi  sampai kebocoran diketahui dan diatasi.
Kecepatan ( response ) operator
terhadap  suatu  sinyal  terkadang  tidak secepat  proses  alam  yang  harus  ditindak lanjuti,  oleh  karena  itu redundancy antara operator  dengan  sistem  elektronik  sangat diperlukan,  seperti  yang  diterapkan  dalam modifikasi tungku kalsinasi-reduksi ME-11 di PTBN  –  BATAN [3] .  Modifikasi  kendali  logik
tungku ME-11 utamanya untuk meningkatkan  faktor  keselamatan  operasi dengan menambahkan sistem redundancy [4] karena proses reduksi menggunakan gas hidrogen.
Suatu  kecelakaan  bisa  terjadi  bukan karena  implementasi  disain  yang  gagal dalam  mendapatkan  sistem  bekerja  yang handal,  tetapi  bisa  juga  karena  situasi  yang muncul dalam operasi dan belum
diantisipasi cara mengatasinya. Oleh karena itu,  analisis  sistem  harus  di  buat  sebelum dan  sesudah  proses  disain  dilaksanakan, dalam  rangka  untuk  meyakinkan  sistem aman dalam bekerjanya.
Dalam  makalah  ini  dijelaskan Fault Tree  Anaiysis (FTA)  yang  dilakukan  setelah disain  modifikasi  kendali  logik  tungku kalsinasi  &  reduksi  ME-11  dilaksanakan. Dua  prediksi  kejadian  untuk  FTA  yang dibahas  dalam  makalah  ini  yaitu  potensi kecelakaan  ledakan  di  dalam  ruang  tungku dan di ruang pembakaran gas buang.

## Kalsinasi - reduksi
Gagalan  pelet  UO 2 dari  proses peletisasi  pada  Gambar  1  harus  dirubah bentuk  fisiknya  menjadi  serbuk  UO 2 melalui proses  kalsinasi  dan  reduksi  agar  dapat diproses  kembali  menjadi  pelet  UO 2 yang memenuhi  persyaratan.  Proses  kalsinasi dilakukan  dengan  pemanasan  memakai atmosfir  udara  dan  terjadi  reaksi  kimia sebagai berikut:
Proses  tersebut  dilakukan  di  dalam  tungku dengan  suhu  400 o C  –  500 o C  dan  waktu pemanasan 1 sampai 3 jam [5] .
Serbuk  U 3 O 8 dari  hasil  rekasi  (1) kemudian diproses
reduksi dengan menggunakan  gas  hidrogen  dan  terjadi reaksi sebagai berikut:
Gas  H 2 diberikan  berlebihan  sehingga lebihan  sisa  reaksi  dikeluarkan  dari  tungku dan dibakar di ruang pembakaran, sedangkan  uap  air  (H 2 O)  yang  terbentuk dari  reaksi  (2)  dipisahkan  dari  gas  H 2 sisa reaksi  dengan  proses  pengembunan  untuk kemudaian  di  keluarkan  dari  tungku.  Suhu tungku  750 o C  dan  waktu  pemanasan 3 jam [6] .

## Gas hidrogen
Hidrogen  adalah  gas  ringan  (lebih ringan dari udara),  tidak berwarna dan tidak berbau.  Jika  terbakar  tidak  menunjukkan adanya nyala dan akan menghasilkan panas yang  sangat  tinggi [7,8] .  Gambar  2  adalah karakteristik  gas  hidrogen  dalam  kontek adanya tambahan energy dari luar  terhadap campuran udara (prosentase volume).
Gambar 2. Karakteristik campuran (volume) gas hidrogen dan udara [7] . hidrogen 0 4% 75 % 100% 96% 0 25% 18 % 59 % 82 % 41 % 100% Explosive area Burning area Burning area Safe area Safe area udara
(Achmad Suntoro)
Komposisi campuran (volume) tersebut dapat terbentuk jika terjadi pelepasan hidrogen  bebas ke udara, seperti ditunjukkan  pada  Gambar  3,  yaitu  simulasi hidrogen  cair  pada  suatu  wadah  dengan tutup  wadah  dibuka,  sehingga  gas  hidogen menguap  ke  udara  dengan  komposisi prosentase  volume  yang  berubah  secara gradual sebagai  fungsi  jarak  dan  waktu [9] . Gambar  3  menunjukkan  simulasi  distribusi untuk waktu 21 detik.
Gambar 3.   Simulasi           21      detik terbentuknya     komposisi (volume) gas hidrogen dan udara [9] .
Dari  simulasi  tersebut,  jika  gas hidrogen  yang  lepas  ke  udara  hendak dibakar, maka penyulutan api harus dilakukan  tepat  waktu.  Penyulutan  tidak tepat  waktu  dapat  tidak  membakar  gas hidrogen  (karena  prosentase  <4%  atau >75%,  sisanya  udara)  atau  menyebabkan ledakan  (karena  prosentase  18%  dan  59%, sisanya udara).
(a). Horizontal (b). Vertical
Gambar 4. Visualisasi   pelepasan      gas hidrogen            ke         udara menggunakan teknik foto BOS
[10] .
Posisi  penyulutan  juga  menentukan, karena pola distribusi komposisi gas hidrogen  dipengaruhi  oleh  kecenderungan gas  untuk  naik    keatas  (karena  lebih  ringan dari udara). Gambar  4 memperlihatkan pola distribusi  komposisi  (kwalitatif)  pelepasan gas hidrogen ke udara  menggunakan teknik visualisasi (foto) Background Oriented Schlieren (BOS) [10] .  Teknik  ini  digunakan karena  hidrogen  tidak  berwarna  sehingga tidak bisa dilihat. Pelepasan secara horizontal  maupun  vertical  menunjukkan pola distribusi mengarah ke atas.
Ada  lima  pemicu  timbulnya  ledakan gas  hidrogen  jika  komposisinya  terletak pada explosive  area di  Gambar  2,  yaitu [1] :
(1) Efek inverse dari Joule-Thomson, (2) api atau  letikan  api,  (3)  difusi  gas,  (4)  kompresi adiabatik  yang  tiba-tiba,  dan  (5)  permukaan yang  panas.  Energy  dari  luar  (pemicu) sebesar  20  J  dari  letikan  api  telah  mampu membakar  atau  meledakkan  gas  tersebut. Gas  hidrogen  juga  dapat  terbakar  atau meledak  dengan  sendirinya  pada auto- ignition  temperature nya,  yaitu  minimum 585 o C, jika komposisi campurannya terpenuhi [8] .  Kondisi  ini  di  tafsirkan  dalam makalah ini sebagai pemicu ledakan karena permukaan panas.

## Fault Tree Analysis (FTA)
FTA  adalah  sebuah  bentuk  analisis keselamatan  yang  sering  diterapkan  pada dunia penerbangan angkasa luar, elektronik, dan  industri  nuklir [11] .    FTA  adalah pendekatan Top-Down untuk  menentukan penyebab potensi terjadinya sebuah kegagalan  dalam  sistem  yang  mengarah kepada sebuah kecelakaan. Analisis dilakukan  dari  kegagalan  yang  mungkin terjadi  ditelusur  mundur  kebelakang  untuk semua  kemungkinan  penyebabnya.  Oleh karena  itu,  jika  kejadian  yang  tidak diinginkan dalam sebuah plant telah diketahui, maka FTA tepat digunakan.
Tabel 1. Simbol FTA yang digunakan [12] . A adalah deskripsi kejadian sebagai akibat dari kejadian dibawahnya. O akan terjadi, jika A, B, C . . . dan semua input terjadi (logik AND). O akan terjadi, jika A terjadi dan berkembang menjadi B. O akan terjadi, jika A atau B atau C atau salah satu atau lebih dari input terjadi (logik OR). Sumber penyebab kejadian. A terjadi karena kesalahan. O akan terjadi, jika B terjadi dan A telah terjadi sebelumnya. Sumber penyebab kejadian. A terjadi diluar kendali sistem (faktor external). Transfer-in, A adalah hasil operasi dari tempat lain yang sengaja untuk di-transfer. Sumber penyebab kejadian. A terjadi karena dalam proses selalu melalui kondisi tsb (faktor internal). Transfer-out, A adalah hasil operasi yang disiapkan untuk di- transfer ke tempat lain. Dua  jenis  informasi  diperoleh  dari  FTA:
kwalitatif  dan  kwantitatif.  Hasil  kwalitatif adalah gambaran rute menggunakan simbol-simbol  FTA  yang  menghubungkan penyebab awal kejadian sampai ke kejadiannya,  sedangkan  hasil  kwantitatif adalah angka kemungkinan ( probability ) dari kejadian tersebut. Dalam makalah ini hanya FTA  secara  kwalitatif  yang  akan  digunakan. Tabel  1  adalah  simbol-simbol  FTA  yang digunakan  dalam  makalah  ini,  dan  aturan penggunaan  simbol  serta  batasan  FTA secara panjang lebar dijelaskan di [12].

## TATA KERJA
Proses  reduksi  U 3 O 8 dimulai  dari  titik  A (suhu  kamar),  lihat  Gambar  5.  Pada  posisi ini  langkah-langkah  persiapan  dilakukan secara  berurutan  sebagai  berikut:  ruang tungku divakum, gas N 2 dialirkan ke tungku, api  pembakar  gas  buang  dinyalakan,  dan suhu  tungku dinaikkan. Gambar  5.  Proses reduksi pada tungku ME-11.
Gambar 5.   Proses reduksi pada tungku
ME-11.
A A B O A A A         B O A A A A    B   C  . O O A    B   C  . 750 °C >585 °C
(Achmad Suntoro)
Gambar 6.  Sistem Instrumentasi Kendali Logik tungku ME-11.
Ruang tungku Ruang kondensasi
H 2 N 2 LPG SL SN R Q T a M 2 Pompa Vacuum D1 Vacuum contactor KENDALI G 1 2 3 4 5 6 7 8 9 10 Lampu indikator T2 I 1 I 2 I 3 I 4 I 6 I 7 I 8 O 1 O 2 O 3 O 4 O 5 K Air pendingin (in) L Udara O O 7 Tambahan untuk Reduksi Air pendingin (out)
O 8 Kabinet IG TK IL SP RST V 2 V 1 S1 V 3 PE O 9 M      O T1 mode J H I I 9 I 10 I 11 I 12 M 1 BV SU I 5 M SK
Ruang bakar Pemantik LPG SH A B C F3 F2 UPS
Ketika  suhu  tungku  mencapai  titik  B,  katup gas  H 2 dibuka  sehingga  saat  itu  dua  jenis gas  (N 2 dan  H 2 )  mengalir  ke  tungku bersama-sama  beberapa  saat.  Selanjutnya katup  gas  N 2 menuju  tungku  ditutup  dan hanya  gas  H 2 yang  mengalir  ke  tungku. Membukanya  katup  H 2 dikendalikan  oleh sebuah thermo-switch .  Suhu  tungku  terus menaik  hingga  titik  C  dan  ditahan  untuk beberapa waktu (T)  sesuai yang diperlukan. Jika  waktu  pemanasan  (T)  telah  mencapai titik  D  maka  suhu  tungku  diturunkan.  Ketika suhu  tungku  kembali  mencapai  titik  B maka thermo-switch kembali  membuka  katup  gas N 2 dan  dilanjutkan  beberapa  saat  kemudian menutup katup gas H 2 (untuk beberapa saat N 2 dan  H 2 masuk  tungku  bersama).  Suhu tungku terus turun hingga mencapai kembali ke titik A dan proses reduksi selesai. Selama proses reduksi, gas H 2 atau N 2 yang masuk ke  tungku  untuk  kemudian  keluar,  dan  juga gas  H 2 lebihan  reaksi  dibakar  di  ruang pembakaran  oleh  nyala    api    dari    gas LPG,sehingga  tidak  ada    gas  H 2 yang dibuang ke atmosfir udara (lingkungan).
Gas  LPG,  gas  H 2 yang  masuk  ke ruang  tungku,  dan  gas  H 2 yang  keluar tungku  (gas  buang)  dikendalikan  oleh  katup normally-closed (katup  A,  C,  dan  F2&F3 pada Gambar 6) sehingga jika sumber listrik padam  katup  akan  menutup.  Katup  gas buang  (F2&F3)  dan  katup  LPG  (A)  dalam operasinya  di back-up oleh  UPS  ( Un- interruptable  Power  Supply )  sehingga  jika terjadi  gangguan  listrik  padam,  maka  kedua katup  tersebut  tetap  aktif  (terbuka).  Kondisi ini  disiapkan  agar  suplai  LPG  tetap  berjalan (sehingga nyala api LPG tetap ada) dan gas buang dapat keluar untuk dibakar meskipun terjadi  gangguan  listrik  padam.  UPS  hanya digunakan untuk back-up katup-katup tersebut dan tidak untuk lainnya.
Dari  lima  pemicu  ledakan  yang dijelaskan  di  [1],  hanya  nomor  (2)  dan  (5) yaitu letikan api dan permukaan panas yang mungkin  terjadi  pada  sistem  tungku  ME-11, karena  proses  reduksi  tidak  menggunakan
hidrogen bertekanan tinggi sehingga pemicu yang  berasal  dari  diffusi, inverse Joule- Thomson effect ,  dan  proses  adiabatik mendadak tidak  pernah terjadi. Oleh karena itu  prinsip  dasar  FTA  untuk  tungku  ME-11 ditinjau hanya dari dua kemungkinan pemicu ledakan tersebut yang terjadi pada komposisi  volume  berpotensi  meledak, seperti  di  simbolkan  dengan  FTA  pada Gambar 7.
Gambar 7.   Bagan  prinsip  terjadinya ledakan di tungku ME-11.
Pada sistem
tungku
ME-11,
pertemuan  komposisi  volume  berpotensi meledak  tersebut  dengan  pemicu  ledakan hanya  terjadi  pada  dua  tempat,  yaitu  di dalam ruang tungku dan di ruang pembakaran gas buang (lihat Gambar 6 dan 8).  Oleh  karena  itu  FTA  untuk  disain modifikasi  yang  dilakukan  hanya  mengarah kepada  dua  tempat  kejadian  tersebut. Kemungkinan  lain  seperti  kebocoran  gas dalam  instalasi  tidak  dicakup  dalam  FTA  ini karena  kondisi itu telah  dicakup  oleh  sistem keselamatan  bangunan  secara  menyeluruh dan  tidak  terkait  dengan  disain  modifikasi yang dilakukan.
Dua penyebab utama potensi terjadinya  ledakan  di  ruang  tungku  ME-11 adalah  karena  perangkat  tungku  &  operasi dan  kemurnian  suplai  gas  H 2 yang digunakan. Pemicu penyebab ledakan adalah  permukaan  panas  dari  tungku, sedangkan letikan api (dari putusnya filamen misalnya) tidak  mungkin terjadi karena jenis tungku ME-11 mempunyai filamen pemanas
Ledakan gas hidrogen di tungku ME-11
Prosentase volume   gas H 2 dengan udara  18% dan  59%
1 Pemicu:  letikan api atau nyala api
 Auto-ignition temperatur gas
H 2
2
(Achmad Suntoro)
berada  di  luar  ruang  tungku  ( indirect heating ) - lihat Gambar 8.
Gambar 8.  Tungku ME-11. Tiga penyebab utama potensi terjadinya ledakan di ruang bakar gas buang tungku  ME-11  adalah  karena  aliran  gas  H 2 tinggi,  kemurnian  suplai  gas  H 2 yang digunakan, dan karena perangkat & operasi. Pemicu  ledakan  di  ruang  bakar  bisa  terjadi karena letikan dari sistem pemantik penyalaan  gas  LPG  atau  nyala  api  dari  gas LPG (lihat Gambar 9).
Gambar 9.  Ruang bakar gas buang ME-11.
Dari domain penyebab utama ledakan di  dua  tempat  tersebut  diatas,  diurai  dan dirunut ke arah penyebab awalnya menggunakan  instrumen  simbol-simbol FTA dengan  prinsip  mencari  terjadinya  bagan pada Gambar 7.

## HASIL DAN PEMBAHASAN
Dua  diagram  FTA  untuk  potensi ledakan di ruang tungku dan di ruang bakar gas buang ditunjukkan pada Gambar 10 dan 11.  Penguraian  dan  penelusuran  untuk pembentukan kedua bagan tersebut dilakukan  dengan  mencari  dua  kondisi  di dalam  sistem  ME-11  sehingga  dua  kondsi tersebut terjadi dalam waktu yang
bersamaan.  Ledakan  akan  terjadi  jika  dua kondisi  tersebut  bertemu  sesuai  dengan prinsip  dasar  pada  Gambar  7.  Kondisi pertama  dalah  pemicu  ledakan  dan  kondisi ke  dua  adalah  campuran  volume  gas  yang berpotensi meledak mengacu pada Gambar 2.
Pemicu  ledakan  di  ruang  tungku  ME- 11  adalah  suhu  diatas auto-ignition (585 o C) dari  gas  H 2 .  Suhu  tersebut  akan  terjadi (dilalui) pada proses reduksi. Oleh karena itu penyebab  pemicu  ini  tidak  bisa  dihindari keberadaanya  karena  merupakan  bagian dari  proses  reduksi.  Pemicu  awal  ledakan tersebut  pada  Gambar  10  muncul  dengan kondisi berlabel  .
Pemicu  ledakan  di  ruang  bakar adalah  api  dari  terbakarnya  gas  LPG  dan letikan  api  dari  sistem  pemantik  otomatis penyalaan  gas  LPG.  Dua  jenis  pemicu  ini pada  diagram  FTA  Gambar  11  muncul dengan  kondisi  berlabel  dan  .  Kedua jenis  pemicu  ini  juga  pasti  terjadi  karena merupakan  kondisi  bagian  dari  kegiatan proses  reduksi.  Dalam  modifikasi  kendali logik yang dilakukan, pemantik LPG dikendalikan  oleh  timer  yang  didisain  untuk mengurangi  potensi  terjadinya  ledakan dengan  membatasi  lama  waktu  operasi  dari pemantik.  Kegagalan  timer  muncul  pada label  di Gambar 11 diagram FTA.
Secara umum penyebab awal ledakan di  ME-11  didominasi  oleh  komposisi  gas hidrogen,  karena  pemicu  nya  hampir  selalu ada  selama  proses  reduksi  berlangsung.
Ada beberapa kemungkinan yang menyebabkan terjadinya komposisi Saluran H Saluran LPG Pemantik LPG
Api  LPG Ruang bakar
Tungku terpasang
Ruang Tungku
dilepas
campuran  gas  H 2 berpotensi  meledak. Untuk  ruang  tungku  adalah  kondisi  dengan label  s/d  pada Gambar 10, dan  s/d  pada Gambar 11 untuk ruang bakar.

## Listrik padam
Listrik padam tidak menjadi penyebab terjadinya  ledakan  baik  di  ruang  tungku maupun  di  ruang  bakar.  Aliran  listrik  di sistem  tungku  ME-11  hanya  berpengaruh pada  sistem  pemanas  tungku  yang  akan menurunkan temperatur ruang tungku hingga  dibawah  suhu auto-ignition nya.
Potensi  ledakan  di  ruang  tungku  hanya dipicu  oleh  campuran  gas  hidrogen,  dan tidak dipengaruhi oleh padamnya listrik.
Di ruang bakar, padamnya listrik akan merubah  gas  H 2 yang  masuk  ke  tungku menjadi  gas  N 2 sehingga  potensi  campuran gas bisa meledak yang keluar tungku makin menjauh.  Jika  sistem  UPS  ME-11  gagal bekerja,  maka  saluran  gas  keluar  tungku menutup  dan  api  LPG  padam.  Tidak  ada potensi ledakan terjadi di ruang bakar.
Pencegahan  ledakan  di  ruang  tungku dilakukan dengan
cara pencegahan terbentuknya
komposisi campuran
berpotensi meledak di ruang tungku. Gas H 2 yang  masuk  ke  ruang  tungku  akan  diganti secara otomatis dengan gas N 2 ketika listrik padam,  sehingga  campuran  komposisi meledak  pada  Gambar  2  di  ruang  tungku akan  terganggu  (tidak  terjadi).  Pelaksanaan cara  ini  dilakukan  dengan  menggunakan katup H 2 (katup C pada Gambar 6) normally- close dan  katup  N 2 (katup  B  pada  Gambar 6) normally-open sehingga jika listrik padam, maka  secara  otomatis  gas  H 2 berhenti mengalir dan gas N 2 mulai mengalir.
Antisipasi rusaknya katup yang
bekerja normally-close dan normally-open dilakukan  berturut-turut  dengan redundancy seri dan paralel seperti yang telah dilakukan pada Gambar 12. Penggunaan gas LPG dan H 2 harus
dilakukan menggunakan redundancy katup  seri  karena  kedua  gas tersebut  berpotensi  menimbulkan  bahaya jika  lepas  ke  udara  (katup  A  dan  C  di Gambar  6),  sehingga  rusaknya  salah  satu katup  (bocor  misalnya)  masih  bisa  di  tutup oleh  katup redundancy nya.  Untuk  gas  N 2 (katup  B  di  Gambar  6)  yang  digunakan sebagai gas pendorong ( flush ) yang bekerja normally-open dioperasikan  menggunakan katup paralel.
(Achmad Suntoro)
Gambar 10.  Diagram FTA potensi ledakan di dalam tungku.
Ledakan gas hidrogen di dalam tungku ME-11 Tungku berisi udara Campuran gas H 2 & udara dalam tungku berpotensi meledak Gas H 2 dan udara bercampur dalam tungku Prosentase  volume gas H 2 dengan udara di dalam tungku  18% dan  59% Terbentuk pemicu ledakan A Ledakan gas H 2 karena perangkat tungku & operasi Ledakan gas H 2 karena supply bahan baku gas
Tungku beroperasi tanpa menggunakan gas N 2 Kondisi awal tungku berisi udara A B  Thermoswitch tidak terkalibrasi: aktif sebelum waktunya
Tungku bocor, udara luar masuk Tekanan dalam tungku rendah, udara luar masuk Suhu tugku  suhu auto- ignition gas H 2  Setting suhu untuk gas H 2 masuk tungku rendah  Katup masuk gas H 2 rusak: selalu membuka    Proses vakum tidak dilakukan  Katup masuk gas N 2 rusak: tidak bisa membuka  Katup masuk (manual) gas N 2 belum dibuka  Perintah untuk gas H 2 masuk ke tungku terlalu awal B Campuran gas H 2 & udara dalam tungku berpotensi meledak Gas H 2 yang digunakan tidak murni   Gas N 2 habis Gas H 2 masuk tungku sebelum waktunya
Gambar 11.  Diagram FTA potensi ledakan di ruang pembakaran gas buang.
Pencegahan  ledakan  di  ruang  tungku dilakukan dengan cara pencegahan terbentuknya
komposisi campuran berpotensi meledak di ruang tungku. Gas H 2 yang  masuk  ke  ruang  tungku  akan  diganti secara otomatis dengan gas N 2 ketika listrik padam,  sehingga  campuran  komposisi meledak  pada  Gambar  2  di  ruang  tungku akan  terganggu  (tidak  terjadi).  Pelaksanaan cara  ini  dilakukan  dengan  menggunakan katup H 2 (katup C pada Gambar 6) normally- close dan  katup  N 2 (katup  B  pada
Gambar 6) normally-open sehingga  jika listrik  padam,  maka  secara  otomatis  gas  H 2 berhenti  mengalir  dan  gas  N 2 mulai mengalir.
Antisipasi rusaknya katup yang bekerja normally-close dan normally-open dilakukan  berturut-turut  dengan redundancy seri dan paralel seperti yang telah dilakukan pada Gambar 12. Penggunaan gas LPG dan H 2 harus dilakukan menggunakan redundancy katup  seri  karena  kedua  gas tersebut  berpotensi  menimbulkan  bahaya
Ledakan gas hidrogen di ruang bakar gas buang tungku ME-11
Ledakan karena aliran gas H 2 keluar tungku tinggi Ledakan karena perangkat tungku dan operasi
Ledakan gas H 2 karena supply bahan baku gas A A Campuran gas H 2 diruang pembakaran berpotensi meledak Prosentasi gas H 2 di ruang pembakaran meningkat Api pembakar gas padam Katup LPG rusak tidak bisa membuka Gas LPG habis Gangguan: api LPG padam    Campuran gas H 2 diruang pembakaran berpotensi meledak Prosentase  volume gas H 2 dengan udara di ruang pembakaran
 18% dan  59%
Aliran gas H 2 keluar tungku tinggi  Setting laju aliran gas H 2
masuk tungku tinggi Tekanan dalam tungku berisi gas H 2 tinggi  B B B Campuran gas H 2 diruang pembakaran berpotensi meledak Gas H 2 mengalir ke ruang pembakaran  Gas H 2 yang digunakan tidak murni, berpotensi meledak  Pemantik LPG aktif  Api pembakar gas nyala  Ada energi pemicu ledakan A Ada pemicu ledakan tak terkendali Timer pengendali alat pemantik LPG rusak 
(Achmad Suntoro)
jika  lepas  ke  udara  (katup  A  dan  C  di Gambar  6),  sehingga  rusaknya  salah  satu katup  (bocor  misalnya)  masih  bisa  di  tutup oleh  katup redundancy nya.  Untuk  gas  N 2 (katup  B  di  Gambar  6)  yang  digunakan sebagai gas pendorong ( flush ) yang bekerja normally-open dioperasikan  menggunakan katup paralel.
Gambar 12. Redundancy katup gas seri & paralel.
Suplai Gas H 2
Kondisi label  dan  pada Gambar 10  dan  11,  adalah  penyebab  awal  ledakan karena  suplai  bahan  baku  gas  H 2 yang digunakan  tidak  murni.  Kondisi  ini  bisa berpotensi  mempunyai  komposisi  campuran yang  berpotensi  meledak  ketika  di  ruang tungku atau di ruang bakar gas buang, yang masing-masing  bertemu  dengan  pemicu nya.  Untuk  mencegah  hal  ini,  gas  H 2 yang akan digunakan dalam proses reduksi harus melalui  perangkat  deteksi  kemurnian  gas. Jika  gas  yang  digunakan  tidak  murni  atau diluar  batas  kemurnian  yang  diperbolehkan, maka operasi reduksi tidak boleh dilanjutkan.
Perangkat & operasi
Terbentuknya campuran gas H 2 dengan  udara  yang  berpotensi  meledak  di ruang  tungku  disebabkan  oleh  pertama keberadaan  udara  di  ruang  tungku  yang
seharusnya  hal  ini  tidak  boleh  terjadi,  dan kedua  masuknya  gas  H 2 ke  ruang  tungku sebelum  waktunya.  Dua  gas  ini  berpotensi membentuk  campuran  yang  berpotensi meledak,  walaupun  bisa  juga  campuran tersebut tidak terbentuk (Gambar 2).
Penyebab  awal  terjadinya  gas  H 2 masuk sebelum waktunya adalah kesalahan thermoswitch yang  tidak  terkalibrasi  (  ) sehingga katup C pada Gambar 6 membuka sebelum waktunya, atau kesalahan  operator dalam menentukan suhu masuk gas H 2 (  ) jika  mode  operasi  manual  yang  digunakan,
atau katup C tersebut rusak selalu membuka
(  ).
Penyebab  awal  keberadaan  udara  di ruang  tungku  adalah  karena  ruang  tungku bocor  (  ),  atau  tekanan  di  ruang  tungku rendah  (  )  sehingga  udara  luar  masuk  ke tungku  melalui  saluran  keluarnya,  atau  dari awalnya ruang tungku telah berisi udara.
Kecil  kemungkinan  ruang  tungku bocor  tanpa  diketahui  sebelumnya  karena sistem tungku ME-11 menggunakan indirect- heating sehingga  ruang  tungku  dapat dikeluarkan dan dapat dilihat fisiknya secara visual (lihat Gambar 8).
Rendahnya  tekanan  didalam  tungku telah dimonitor oleh sebuah pressure-switch M1 sehingga katup gas buang F2 & F3 akan ditutup jika tekanan tungku lebih rendah dari udara  di luar (lihat Gambar 6). Kedua katup dibuka kembali jika tekanan di ruang tungku telah berada dalam batas yang diperbolehkan.  Katup  F3  dibuka  terlebih dahulu untuk beberapa detik baru kemudian F2 dibuka, hal ini dilakukan untuk menghindari  efek  hembusan  ( transient )  dari tekanan  gas  ruang  tungku  yang  keluar  tiba- tiba  yang  berpotensi  mematikan  nyala  api LPG
Awal  ruang  tungku  berisi  udara dikarenakan  proses vacum tidak  dilakukan (  )  oleh  operator  diawal  operasi  (tidak mengikuti  prosedur  operasi),  dan  operasi reduksi  tidak  menggunakan  gas  N 2 .  Gas  N 2
Katup Seri
Katup Paralel
tidak  digunakan  karena  katup  manual  gas N 2 (katup  H  pada  Gambar  6)  tidak  dibuka oleh  operator  (  )  karena  tidak  mengikuti prosedur  operasi,  atau  persediaan  gas  N 2 habis  (  ),  atau  katup  masuk  N 2 ke  ruang tungku (katup B pada Gambar 6) rusak tidak mau  membuka  (  ).  Gas  N 2 digunakan untuk  mengisi  ruang  tungku  di  awal  operasi setelah  proses  vacum  dilakukan  sehingga tidak  ada  kesempatan  udara  mengisi  ruang tungku ketika operasi berlangsung.
Di ruang bakar, aliran gas buang yaitu gas H 2 lebihan reaksi mengalir keluar tungku untuk dibakar (  ). Tetapi jika api pembakar yang  berasal  dari  nyala  LPG  padam,  maka konsentrasi  gas  H 2 di  ruang  bakar  akan meningkat  karena  tidak  dibakar.  Campuran gas  di  ruang  bakar  tersebut  bisa  mencapai campuran  berpotensi  meledak.  Jika  saat  itu api  atau  letikan  api  untuk  menyalakan  LPG terjadi, maka ledakan terjadi.
Api  LPG  padam  disebabkan  oleh  gas LPG  habis  (  ) , atau gangguan  lain  yang menyebabkan  api  padam  (  ),  atau  katup LPG  A  pada  Gambar  6  rusak  tidak  bisa membuka  (  ).  Antisipasi  padamnya  nyala api  LPG  di  lakukan  dengan  membuat  alat pemantik  otomatis  yang  akan  berusaha menyalakan  kembali  dengan  letikan  apinya. Jika  penyalaan  ini  diserahkan  kepada operator  secara  manual,  maka  sangat mungkin  ledakan  akan  terjadi  karena penyalaan yang tidak tepat waktu. Demikian juga  jika  LPG  tidak  juga  menyala  oleh pemantik  otomatis  hingga  campuran  gas  H 2 di  tungku  mencapai  potensi  meledak,  maka letikan  api  penyalaan  LPG  tersebut  menjadi pemicu ledakan di ruang bakar.
Untuk  mencegah  terjadinya  ledakan tersebut,  maka  jika  api  LPG  padam pemantik  otomatis  hanya  bekerja  dalam interval  waktu  tertentu  (menggunakan timer yang  dapat  diatur,  untuk  ME-11  diatur  7 detik).  Jika  dalam  interval  waktu  tersebut nyala  api  tidak  juga  terjadi,  maka  operasi reduksi  dihentikan  secara emergency ,  yaitu katup  keluar  dan  masuk  tungku  ditutup  dan
sistem  tungku  di  istirahatkan.  Proses selanjutnya
mengikuti prosedur pengosongan  gas  dalam  tungku  akibat proses  berhenti  secara emergency yang dijelaskan di [3].

## Aliran Gas Buang Tinggi
Potensi  terjadinya  ledakan  akibat aliran  gas  buang  tinggi  mungkin  terjadi  di ruang  bakar  gas  buang.  Kondisi  ini  bisa terjadi  karena setting masuknya  gas  H 2 ke tungku  tinggi  (  ),  atau  tekanan  di  ruang tungku  tinggi  (  ),  sehingga  aliran  gas keluar tungku juga tinggi.
Tingginya  aliran  gas  keluar  tungku akan  berpotensi  membentuk  komposisi  gas H 2 berpotensi  meledak  di  ruang  bakar. Kondisi  ini  dapat  dianalogikan  dengan simulasi  yang  ditunjukkan  pada  Gambar  3. Api  LPG  atau  letikan  pemantik  penyalaan LPG  akan  menjadi  pemicu  ledakan  jika komposisi volume berpotensi meledak terjadi.
Untuk  mencegah  hal  ini,  sistem pengendali laju aliran gas buang digunakan, yaitu  laju  aliran  gas  buang  dibatasi.  Jika aliran  gas  buang  terlalu  tinggi  maka  katup masuk  gas  ke  ruang  tungku  (SH  atau  SN pada Gambar 6) ditutup, dan dibuka jika laju aliran  telah  kembali  pada  daerah  yang diperbolehkan.

## SIMPULAN
FTA  potensi  terjadinya  ledakan  pada sistem  tungku  reduksi  ME-11  telah  dibuat untuk  dua  tempat  kejadian,  di  ruang  tungku dan  di  ruang  bakar  gas  buang.  Proses reduksi  dengan  ME-11  tidak  menggunakan gas  hidrogen  bertekanan  tinggi  maka kemungkinan  ledakan  di  ruang  bakar  tidak akan  tinggi  karena  juga  volume  gas  H 2 di ruang  bakar  tersebut  tidak  akan  terlalu besar.  Sementara  itu  ledakan  di  ruang tungku  juga  tidak  mudah  terjadi  karena pemicu  ledakan  hanya  berasal  dari self- combution dari gas H 2 yang secara prosedur
(Achmad Suntoro)
dapat dihindari bertemunya dengan komposisi  gas  yang  berpotensi  meledak.
Teknik  redundancy  diterapkan  pada  sistem instrumentasi  ME-11  terhadap  tindakan operator untuk meningkatkan faktor keselamatan.

## UCAPAN TERIMA KASIH
Penulis  sangat  berterima  kasih  kepada saudara  Zaidi,  Djoko  Kisworo,  Triarjo,  dan Dedi  Haryadi  staf  Bidang  Bahan  Bakar Nuklir,  Kelompok  Proses  Konversi  dan Fabrikasi  Bahan  Bakar  Nuklir  –  PTBN BATAN,  atas  bantuan  teknis-nya  selama kegiatan instalasi
dan percobaan berlangsung.

## DAFTAR PUSTAKA
[1]. Astbury  Gr.  dan  Hawksworth  Sj, (2007), Spontaneous Ignition of
Hydrogen Leaks: A review of
Postulated  Mechanisms .,  International Journal  of  Hydrogen  Energy,  32,  pp. 2178-2185.
[2]. Anonim, (n,d),    http://h2incidents.org/ incident.asp?inc=58  dibaca:  18  Juni 2012.
[3]. Suntoro  A,  (2009), Sistem  Operasi Tungku Reduksi ME-11 Menggunakan Kendali  Logik  Tambahan ,  Prosiding Seminar  Nasional  Daur  Bahan  Bakar, Serpong, Oktober 2009.
[4]. Suntoro A, (2007), Metodologi Kendali Logik Tambahan Pada Sistem Tungku Reduksi  ME-11 .,  Seminar  Nasional  III SDM Teknologi Nuklir. Yogyakarta.
[5]. Langenati  R,  Ngatijo,  Windaryati  L,
Mustika  D  dan  Mahpudin.,  (2008), Studi  Awal  Oksidasi  Gagalan  Pelet Sinter UO 2 . Seminar Hasil-hasil Penelitian EBN 2007., Serpong.
[6]. Dammunir,  (2007), Aspek  Kinetika Reaksi  Kernel  U 3 O 8 dengan  Gas  H 2 Terhadap Karakteristik Energi Aktivasi,  Konstanta  Laju  Reaksi  dan Rasio O/U
Kernel UO 2 . Jurnal Teknologi Bahan Nuklir, Vol. 3, No. 2.
[7]. ES  &  H  Manual,  Volume  II,  Part  18, Document 18.4 Hydrogen, Revision 3, January 12, 2006.
[8]. Los  Alamos  National  Laboratory, Hydrogen  Safety,  Doc.  No:  ESH13- 401-sb-8/00.
[9]. Venetsanos Ag dan Bartzis Jg, (2005), CFD  Modelling  Of  Large-Scale  LH2 Splills in
Open Environment .,
International Conference on Hydrogen Safety, HySafe ICHG, Pisa, Italy.
[10].  Kebler  A,  Ehrhardt  W  dan  Langer  G, (2005), Hydrogen Detection: Visualisation  oh  Hydrogen  Using  Non Invasive  Optical  Schileren  Technique BOS .,  International  Conference  on Hydrogen Safety, HySafe ICHG, Pisa, Italy.
[11].  Gerogiannis  Vc.,  Caragiannisie,  dan Tsoukarellas  Ma.,(1997), A  General Framework  for  Applying  Safety  to Safety  Critical  Real-Time  Applications Using Fault Tree ., IEEE l.
[12].  Vesely  We,  Goldberg  Ff,  Roberts  Nh dan  Haasl  Df.,  (1981), Fault  Tree Handbook.,  U.S.  Nuclear  Regulatory Commision , Washington DF.