化学プラント大全 
※本記事の参考文献には、Amazonアソシエイトのリンク（アフィリエイト広告）を含みます。
2005年12月11日 午前6時1分32秒、英国ハートフォードシャーのバンスフィールド油槽所で、蒸気雲が爆発しました。
日曜の早朝で構内にほとんど人がおらず、死者はゼロ。しかし火災は5日間燃え続け、調査報告書は「平時の英国で最大の火災」と記しています。
原因は、タンクからガソリンが溢れたことです。防いだはずの装置は、2つありました。
そのうち1つは3か月半で14回固着していて、もう1つは南京錠が掛けられていなかったために働きませんでした。
この記事の要点
- 3段の警報は、すべて同じ1つの液面計から出ていた
- 独立高位スイッチは、南京錠が「決定的な安全機能」だった
- 14回の固着が、不具合記録に残っていなかった
- 制御室の赤い緊急停止ボタンは、配線されていなかった
- 勧告は「タンクゲージから物理的にも電気的にも分離・独立」を求めた
1. 何が起きたのか
液面計が、約3分の2で止まった
| 日時 | 起きたこと |
| 12/10 19:00頃 | Tank 912 がパイプラインから無鉛ガソリンの受入を開始。流量 約550 m³/h |
| 12/11 01:30 | 在庫チェック完了。異常報告なし |
| 12/11 03:00頃 | 液面計の指示値が変化しなくなる（約3分の2満の位置で静止）。受入は継続 |
| 12/11 05:20頃 | 計算上、タンクは満杯となりオーバーフロー開始 |
| 12/11 05:38 | CCTVに、防液堤の北西角から流出する蒸気。厚さ約1m |
| 12/11 05:46 | 蒸気雲の厚さ約2m。防液堤から全方向へ流出 |
| 12/11 05:50〜06:00 | 流量が約890 m³/hに上昇（別のラインが閉じられたため） |
| 12/11 06:01:32 | 主爆発 |
ここを押さえてください。指示値が止まってから爆発まで、約3時間あります。
その間、制御室の画面には「約3分の2まで入った、動かない液位」が表示され続けていました。異常な値ではありません。ただ、変化しなかっただけです。
被害
| 項目 | 内容 |
| 死者 | 0名。43名が負傷（いずれも軽傷） |
| 火災 | 大型タンク20基超が巻き込まれ、5日間燃焼。主火災の鎮圧に32時間 |
| 消火 | 泡消火薬剤原液75万L、水5,500万L。全国から延べ約1,000名の消防士 |
| 避難 | 約2,000名が住居から避難。M1高速道路の一部区間を閉鎖 |
| 周辺 | 近接する工業団地には当時630社・約16,500名が就業。地元企業の損失は推計7,000万ポンド |
| 総経済損失 | 報告書は「概ね10億ポンド」と記載 |
流出量は、報告書によって数字が異なります。MIIB最終報告書は「最大300トンのガソリンが流出し、うち約10%が蒸気化」、2011年の当局報告書は「25万リットル超が流出」。どちらも推定値で、前提が異なります。本記事では幅があるものとして扱います。
泡消火剤に含まれていたPFOSと、燃料由来のベンゼン・キシレン等が、敷地下の白亜層（飲料水を取水する帯水層）に浸透しました。飲料水供給への影響はなかったものの、長期的な汚染の可能性は残ったと記録されています。
2. 二重の防護が、二重ではなかった
2011年に英国の所管当局（HSEと環境庁）が出した報告書は、直接原因をこう書いています。
「この重大事故の直接原因は、Tank 912 の液面上昇に対して、ATG（自動タンク液面計測システム）とIHLS（独立高位レベルスイッチ）の両方が作動しなかったことである。」
「液面計が固着し、IHLSは動作不能であった。したがって、タンクが危険な液位まで充填されつつあることを制御室要員に知らせる手段が存在しなかった。」
――COMAH所管当局『Buncefield: Why did it happen?』（2011年）
3つの警報は、同じ1つの計器から出ていた
ATGには、3段階の警報がありました。user high / high / high-high。設定値の違う3つです。
けれども、この3つはいずれも同じサーボ式液面計の指示値から導かれていました。
報告書の記述です。「ATG表示がフラットライン化した結果、タンク読み値が常にこれらの警報レベル未満となったため、3つのATG警報はいずれも作動し得なかった。」
警報が3段あることは、多重防護ではありませんでした。共通原因が1つあれば、3つとも同時に消えます。
FTAで言えば、ANDゲートの下に共通原因が入っている状態です。木の上では3枚の防護に見えますが、実際には「液面計の固着」という1次のカットセットが存在していました。
南京錠が、安全装置だった
では、独立した最後の砦であるIHLSはなぜ働かなかったのか。ここが、この事故のいちばん奇妙な部分です。
このスイッチにはチェックレバーがあり、3つの位置を取ります。
| レバー位置 | 意味 |
| 水平 | 通常運転位置。この位置でのみ正常に動作する |
| 上方 | 試験位置（浮き屋根が来なくても警報回路を動かせる） |
| 下方 | 低液位検知モード用の試験位置。高位モードで使うスイッチでは、事実上スイッチを無効化する |
南京錠の役割は、通常運転時にレバーを水平位置に保持することでした。報告書は、これを「決定的な安全機能（vital safety feature）」と呼んでいます。
「南京錠が戻されなければ、チェックレバーは下方位置に残されるか、自然に落ちる可能性があった。」
そして――据付・保守を担当した業者の要員は、南京錠を「防犯・いたずら防止用」だと考えていました。油槽所側でも、南京錠の必要性を認識していた者は一人もいませんでした。
報告書はさらに、こう書き添えています。Tank 912 の用途では、下方位置は「何の役にも立たない」。つまり――
「スイッチは潜在的に危険な無効化位置を備えていただけでなく、それは冒す必要のないリスクだった。」
事故後、メーカーはハンドルが水平より下に動かないようピンを追加する設計変更を行っています。本質安全設計とは、こういうことです。
14回の固着は、記録されていなかった
液面計の固着は、この日が初めてではありませんでした。
保守後にタンクが運転復帰した2005年8月31日から、12月11日までの間に14回。約3か月半で14回です。
監督者は「ゲージを最上部まで上げて落ち着かせる」という対症療法で凌ぐことがありました。固着の決定的な原因は、結局特定されませんでした。
そして――この14回は、電子式の不具合記録簿に記録されていませんでした。運転部門の管理者は、その頻度を知りませんでした。
「有効な不具合記録プロセスの欠如と、その不具合に確実に対応できる保守体制の欠如が、この事故の背後にある最も重要な『根本原因』的な管理・組織上の失敗の2つであった。」
――同報告書
似た話が、もう2つあります。
- 2004年4月にTank 912のIHLSが不動作と判明していたが、タンクは使われ続け、新品への交換は7月1日だった
- 別の多忙な無鉛ガソリンタンク（Tank 911）は、少なくとも9か月間、IHLSなしで運用されていた
「防護層が使えない状態」が、報告もされず、期限管理もされずに続いていた。これは、ヒヤリハット報告制度が拾うべき情報そのものです。
なお、2004年のIHLS交換に際して、正式な変更管理のプロセスは存在しませんでした。
3. 制御室から、見えていなかったもの
| 事実 | 意味 |
| ATGの表示画面は1面のみ。事故当夜、Tank 912の表示は他4タンクのウィンドウの背面かその近くにあった | 見ようとしなければ見えない |
| 画面上の赤い「stop」緊急停止ボタンは、実際には配線されておらず、一度も機能したことがなかった | 多くの監督者は、それを知らなかった |
| 受入ライン3本のうち2本は他所から制御され、監督者はその制御系にアクセスできなかった | 流量が550→900 m³/hに変わったことを、監督者は知らなかった |
| ATGを動かすコンピュータは1台のみ、バックアップなし | 単一点故障 |
| 後期バージョンのATGには「タンク液位と受入データの不整合で警報を出す」機能があったが、実装されていなかった | 今回まさに必要だった機能 |
2行目は、監査の観点から見て強烈です。「押しても何も起きないボタン」が制御室にあり、それが分かっていなかった。
書類の上では、緊急停止手段があることになっていたはずです。現物を辿らなければ、こういうものは見つかりません。
背景にあったもの
- 1960年代後半の稼働開始以来、取扱量は4倍に増加。余裕空間が逼迫し、バッチをタンク間で振り替える運用になっていた
- 高位警報の使い方は8名の監督者がそれぞれ独自で、high-highを超えて充填することもあった
- 12時間交替・5直連続の勤務で、残業込み7日間に84時間に達することもあった。固定の休憩なし
- ある監督者は、ATGの信頼性低下を理由にバックアップのIHLSを要求していた
報告書は、タンク充填の手順についてこう総括しています。
「要するに、名に値するタンク充填システムは存在しなかった。」
4. なぜ、あれほどの爆発になったのか
ここは、慎重に書きます。
MIIB最終報告書（2008年）は、爆発の激烈さについて「現時点では部分的にしか説明されていない」と明記しています。閉じ込め空間内の爆発機構では説明がつかず、蒸気雲の大半は閉じ込められていませんでした。
専門家グループが複数のシナリオを特定しましたが、時間的制約で十分に検証できず、「さらなる実験的・理論的研究なしに包括的な説明が得られる見込みは低い」として研究が継続されました。
したがって「バンスフィールドは爆轟だった」と断定するのは、最終報告書の記述を超えます。報告書は、開放空間での爆轟について「極めて特異な状況が必要」であり、報告例は1970年のPort Hudson（米ミズーリ州）の1件のみだと述べています。
分かっていること ― 蒸気雲がどう作られたか
蒸気雲の生成過程については、かなり詳しく解明されています。
- 受け入れていたバッチの約10%はブタン（冬季用ガソリンの通常配合）
- 浮き屋根は液位上昇で天板に押し付けられても破損せず、天板の8個のブリーザーベントから溢出
- 天板縁のデフレクタープレート（本来は火災時の冷却水を側壁へ導く板）が、落ちる液を側壁側へ戻した
- 「ガソリンはタンク側面と空中をカスケード状に落下し、濃厚な燃料／空気混合気の急速な形成をもたらした」
つまりプールからの静かな蒸発ではなく、落下・衝突による微粒化とブタンのフラッシュが、短時間で大量の蒸気雲を作りました。
ここが、この事故の前提を壊した部分です。報告書は明記しています。
バンスフィールド以前、タンクファームで想定される最悪の事象は「大型タンクの破損に伴う大規模なプール火災」だと考えられていました。
蒸気雲爆発が考慮されなかった理由は、「ガソリンは常温常圧で安定な液体だから」です。
5. この事故が変えたもの
MIIBは25件の勧告を出しました。中心にあるのは、次の3つだと考えています。
| 勧告 | 内容 |
| Rec 3 | 高引火性液体について、「タンクゲージシステムから物理的にも電気的にも分離・独立した、高完全性の自動オーバーフィル防止システム」を設置すること |
| Rec 6 | 「送出側ではなく受入側が、タンク充填の最終的な制御権を持つ」体制を整えること |
| Rec 13 | 防液堤内の可燃性ガス検知器の設置と、ガス検知系とオーバーフィル防止系の連動を検討すること |
Rec 1では、オーバーフィル防止システムのSIL（安全度水準）要求を、機能安全規格の原則に沿って決めることを求めています。Rec 5では、その全構成要素を、規定SILを維持できる十分な頻度でプルーフテストすること。
そしてMIIB自身が、報告書の中でこう書いています。CSBのテキサスシティ報告書が示した「プロセス安全防護システムは、警報に対する運転員の対応に依存すべきではない」という指摘は、Rec 3と完全に整合する――と。
罰金の額が示すもの
刑事手続の結果も、報告書に記載されています。
| 会社 | 罰金 |
| Total UK Ltd | 100万＋100万＋60万ポンド |
| Hertfordshire Oil Storage Ltd（油槽所運営） | 100万＋45万ポンド |
| British Pipeline Agency Ltd | 15万＋15万ポンド |
| 据付・保守業者 | 1,000ポンド |
| スイッチ製造者 | 1,000ポンド |
スイッチを作った会社と、据え付けた会社の罰金は各1,000ポンドでした。桁が3つ違います。
安全装置の健全性を最終的に負うのは、それを使う側だ――この配分は、そう読めます。
6. 自分の工場で確かめる5つのこと
- 高位警報と、高位遮断は、別々の計器から取っていますか。設定値が違うだけの「3段警報」になっていませんか
- 安全装置に、「ある位置にすると無効化される」構造はありませんか。その位置を物理的に選べなくできませんか
- 同じ計器の不具合が繰り返し出ていませんか。それは記録され、頻度が把握されていますか
- 制御室の緊急停止ボタンを、最後に動作確認したのはいつですか。
- 受入中の流量を、受入側が独立に知り、止められますか。
まとめ
- 3段の警報は、同じ1つの液面計から出ていた。多重防護に見えて、共通原因故障
- 最後の砦は南京錠が掛かっているかどうかで決まっていた
- 14回の固着が記録されず、管理者は頻度を知らなかった
- 配線されていない緊急停止ボタンが、制御室にあった
- 爆発の激烈さは、最終報告書の時点で未解明のまま研究が続けられた
「タンクから液が溢れる」という、これ以上ないほど単純な事象です。単純だからこそ、防護が本当に独立しているかどうかだけが問われました。
関連記事
プロセス安全の全体地図
この記事は「プロセス安全・防災」カテゴリの1本です。約100本を6つの領域に整理した地図と、立場・目的別の読む順は、こちらにまとめています。
参考文献
- Buncefield Major Incident Investigation Board「The Buncefield Incident 11 December 2005: The final report of the MIIB, Volume 1」（2008年、PDF・116ページ） 勧告と全体像
- COMAH Competent Authority（HSE・環境庁）「Buncefield: Why did it happen?」（2011年、PDF・36ページ） 根本原因はこちらに詳しい（刑事手続の終結後に公表されたため）
- 同 Volume 2a（先行報告書の合本、PDF） 事故の技術的経緯（Third progress report）を収録
- 安全工学会 監修、新井充・佐藤吉信・高木伸夫・野口和彦・若倉正英 編『実践・安全工学シリーズ2「プロセス安全の基礎」』化学工業日報社、2012年
Amazonで見る
※本記事中の事実関係・数値・引用は、上記の公式報告書の記述に基づいています。日本語訳は筆者によるものです。報告書間で数値が異なる箇所は、本文中にその旨を記載しています。
