動画解説はこちら｜YouTube

DCS と SIS の役割分担｜制御と安全を分ける理由、インターロックが働いたら運転員は何を見るか

DCS と SIS の役割分担のアイキャッチ

※本記事の参考文献には、Amazonアソシエイトのリンク（アフィリエイト広告）を含みます。

DCS は「うまく運転する」ための制御系、SIS（安全計装システム）は「危なくなったら止める」ための安全系です。この2つは、センサも、判断する箱も、弁も、別々に持ちます。

同じ箱に入れると、その箱が故障したとき、制御も安全も同時に失われるからです。液面計が壊れて液面調節弁が全開になり、その同じ液面計の信号で動くはずのインターロックも働かない。これが「共用」の怖さです。

この記事では、なぜ分けるのか、SIS のセンサ・ロジックソルバ・遮断弁という構成、フェイルセーフの考え方、独立防護層の中での位置づけ、そしてインターロックが働いたときに運転員が見る場所を説明します。SIL の決め方や機能安全規格の詳細は、プロセス安全の記事（安全計装システムの基礎、SIL の決め方と検証）に譲ります。

この記事の結論

  • DCS は制御（安定運転）、SIS は安全（異常時の自動停止）。役割が違うので、系統を分ける
  • SIS は センサ → ロジックソルバ（安全専用の PLC など）→ 緊急遮断弁 の3つでできている。DCS とは別のセンサと弁を持つ
  • 分ける理由は 共通原因故障。制御系の伝送器が壊れて異常を起こしたとき、同じ伝送器では異常を検知できない
  • 独立防護層では DCS の制御と警報が IPL2、運転員の介入が IPL3、SIS が IPL4。運転員が間に合わないときに SIS が働く
  • SIS はフェイルセーフ。信号や空気が失われたら安全側へ動く（緊急遮断弁は閉、冷却水弁は開）
  • インターロックが働いたら、何が原因で作動したか（初動原因）を確認し、勝手にリセットしない

目次

1. 制御と安全は目的が違う

DCS の制御ループは、設定値に測定値を合わせるために、毎秒のように弁を動かしています。うまく動いて当たり前で、少しくらい振れてもプラントは止まりません。

SIS は、普段は何もしていません。温度や圧力が危険な値に達したとき、一度だけ確実に動いて、燃料を止める、原料を止める、圧力を逃がす、といった安全な状態へ移します。計装の教科書は SIS を「DCS と別系統の、安全に特化したロジックソルバ」と定義しています。

DCS（BPCS）SIS
目的安定運転、品質、効率異常時にプロセスを安全な状態へ
動作常に動いている普段は待機、要求時に1回確実に動く
故障の影響運転が乱れる事故を止められない
求められる性質使いやすさ、柔軟さ確実さ、独立性、検証可能性
変更運転員がパラメータや設定値を変える変更は厳格な管理の下でのみ

「制御は生産のため、安全は事故を止めるため」。この違いが、分けて作る理由のすべてです。

2. SIS の3つの部分

SIS は、制御ループと同じく3つの部分でできています。

  1. センサ：温度・圧力・流量・液面の異常値を検出する伝送器やスイッチ。DCS の制御用とは別に設ける
  2. ロジックソルバ：センサの信号を受けて「止めるべきか」を判断する箱。安全に特化した PLC やソリッドステートのリレー回路。DCS のコントローラとは別
  3. 操作端：緊急遮断弁、緊急解放弁、ポンプの停止回路。制御用の調節弁とは別の弁

計装の教科書は、安全ループの失敗確率の内訳の目安を「センサ 35%、ロジックソルバ 15%、操作端 50%」としています。最も故障しやすいのは弁です。SIS の遮断弁は普段動かないので、固着していないかを定期的に試験します。

3. なぜ分けるのか｜共用したインターロックが働かない例

プロセス安全の教科書は、分けなかった場合の危険を具体例で示しています。

DCSとSISは別々の系統
DCSとSISは別々の系統

高圧の分離ドラム V-01 の底から液を抜く配管に、液面調節弁があります。液面が下がりすぎると、高圧のガスが下流の低圧容器 V-02 へ吹き抜けて、V-02 が過圧で壊れます。そこで、液面異常低下の信号で緊急遮断弁を閉じるインターロックを設けます。

ここで、インターロックの液面信号を、液面調節計 LIC-01 の伝送器と共用していたらどうなるか。液面調節弁が全開になる原因の1つは LIC-01 の伝送器の故障です。伝送器が「液面が高い」と誤った信号を出せば、調節計は弁を全開にし、液面は本当に下がります。しかし同じ伝送器はまだ「液面が高い」と言っているので、インターロックは働きません。

教科書はこの例から、「検出器や遮断弁がずれの原因となるプロセス制御系と兼用されている場合にはインターロックは機能しないことも考えられるので、プロセス制御系とは独立の検出器とする」と結論しています。これが共通原因故障の回避で、DCS と SIS を分ける最大の理由です。

4. 独立防護層の中での位置

プロセス安全の教科書は、事故を防ぐ仕組みを「独立防護層」として層に分けています。

独立防護層の中の DCS と SIS
独立防護層の中の DCS と SIS
層内容計装との関係
IPL1プロセス設計、材料選定、装置設計本質安全
IPL2BPCS（DCS などの制御システム）による安定運転と異常発生の防止。通常の警報と運転員の監視この記事の DCS
IPL3運転員による介入。IPL2 と区別される重要警報で緊急事態を防ぐアラーム管理の記事
IPL4安全インターロック（SIS）。運転員の介入が間に合わないときに自動停止この記事の SIS
IPL5安全弁・破裂板物理的防護
IPL6〜8防油堤、緊急対応、地域防災

各層は互いに独立していなければなりません。IPL2 の DCS が壊れても IPL4 の SIS が働く、というのが独立性です。運転員の介入（IPL3）で間に合うかどうかが、SIS が要るかどうかの分かれ目で、アラームからハザードまでの進展が速いプロセスでは、運転員に頼らず SIS で止めます。

5. フェイルセーフ｜失われたら安全側へ

SIS は、自分自身が壊れたときにも安全側へ動くように作ります。これがフェイルセーフです。

電源が切れたら止まる側へ
電源が切れたら止まる側へ
  • 緊急遮断弁は空気で開き、空気がなくなれば閉じる（エアフェイルクローズ）。プロセス安全の教科書の表では、緊急遮断弁は「閉もしくはロック」、冷却水の調節弁は「開」、加熱炉の燃料調節弁は「閉」
  • リレーは正常時に励磁し、電源が切れれば接点が開いて停止側へ動く。高圧ガス保安技術の教科書は、警報器を正常時励磁にしておくと電源オフでも警報を発し、警報器自体の異常を知らせられると説明
  • 伝送器の信号が失われたときの向き：温度が低いほうが危険なループでは、伝送器を逆特性にして、信号喪失で「高温」と判断させる

計装の教科書は、身近な例として家庭のガスレンジの立消え安全装置を挙げています。炎が消えると熱電対の電流がなくなり、安全弁がバネで戻ってガスを遮断する。エネルギーが失われたときに安全側へ動く、という原理は SIS と同じです。

6. インターロックが働いたら、運転員は何を見るか

インターロックが作動すると、プラントの一部または全部が止まります。このとき運転員が見る順番です。

  1. 何が作動したか：SIS の作動表示、DCS のアラームサマリで「トリップ」「ESD」の警報
  2. 初動原因（ファーストアップ）：複数の条件のうち、最初に成立した条件はどれか。SIS には最初の作動要因を記憶する機能があるのが普通
  3. 止まったものの状態：遮断弁は閉じたか、ポンプは止まったか。閉じるべき弁が閉じていなければ、それ自体が異常
  4. プロセスの状態：圧力・温度・液面が安全な方向へ向かっているか
  5. リセットの条件：原因が取り除かれ、条件が正常に戻り、所定の承認があってから。勝手にリセットして再起動しない

インターロックの作動は「安全装置が正しく働いた」出来事です。作動そのものを隠したり、原因を確かめずにリセットしたりすると、次は止まらないかもしれません。作動の記録と原因の調査は、プロセス安全マネジメントの一部です。

7. 現場で見る場所

  1. SIS のセンサと遮断弁が、DCS のものと別か：P&ID で、インターロック用の伝送器・弁が制御用と別のタグになっているか
  2. バイパスの状態：SIS のフィールドバイパス（試験用に信号を無効にするスイッチ）が戻っているか。プロセス安全の入門書は「SIS のフィールドバイパスが安全な状態にあることを確認する」を評価項目に挙げている
  3. 遮断弁の試験記録：普段動かない弁が固着していないか。定期的な作動試験の記録
  4. フェイル動作の表示：緊急遮断弁のフェイル動作（FC）が銘板や P&ID と一致しているか

8. 先輩に聞かれたら答えられる3問

  1. DCS と SIS で、センサと弁を別にする理由は何ですか。
  2. 独立防護層で、DCS の制御と SIS はそれぞれ何層目ですか。
  3. インターロックが作動したとき、最初に確認することは何ですか。

答えは順に、制御系の伝送器の故障が異常の原因になったとき、同じ伝送器では異常を検知できないから（共通原因故障の回避）／DCS は IPL2、SIS は IPL4／何が作動したかと初動原因、です。

まとめ

DCS は安定運転のための制御系、SIS は異常時に確実に止めるための安全系で、目的が違うため、センサ・ロジックソルバ・遮断弁を別々に持ちます。共用すると、制御系の伝送器の故障が異常の原因になったときにインターロックが働かない、という共通原因故障が起きます。

独立防護層では DCS の制御と警報が IPL2、運転員の介入が IPL3、SIS が IPL4 で、運転員が間に合わないときに SIS が止めます。SIS はフェイルセーフで、信号や空気が失われれば安全側へ動きます。インターロックが作動したら、何が作動したかと初動原因を確認し、原因を取り除いて承認を得るまでリセットしないでください。

関連記事

この章（DCS・監視操作）の記事　カテゴリの一覧

あわせて読みたい

参考文献

  • 川村貞夫・石川洋次郎『メーカーの技術者が書いた やさしく計装がわかる 工業計測と制御の基礎』工業技術社, 7.2.2「安全設計」、7.2.3「安全計装システム」 　Amazonで見る
  • 安全工学会監修『実践・安全工学シリーズ2「プロセス安全の基礎」』化学工業日報社, 第3章 6「独立防護層」、7「フェイルセーフ設計」表3-9、第6章 3-5「安全対策の評価と改善策の検討」図6-4 　Amazonで見る
  • 高圧ガス保安協会『高圧ガス保安技術』, 11.8.6「安全計装」 　最新版をAmazonで見る
  • CCPS 編、化学工学会安全部会訳『若い技術者のためのプロセス安全入門』丸善出版, 7.4「操業の遂行」 　Amazonで見る
化学プラントニュース―週報と事故速報をわかりやすく紹介するnoteマガジン PLANT NEWS ON NOTE 化学プラントニュース 化学・石油プラントの重要ニュースを、毎週の週報と事故速報でお届けします。現場で押さえたい動きを、わかりやすく整理します。 noteで最新ニュースを読む

前の記事

アラーム管理の基本のアイキャッチ
アラーム管理の基本｜PH・PL・HH・LL、アラームが多すぎる…

次の記事

シーケンス制御と PLC｜起動・停止の順序を自動にする、リレー…
シーケンス制御と PLCのアイキャッチ