化学プラント大全 
※本記事の参考文献には、Amazonアソシエイトのリンク（アフィリエイト広告）を含みます。
HAZOPとFTAは、よく並べて語られます。でも、やっていることの向きが逆です。
HAZOPは「このラインで、何が起こりうるか」を横に広げます。FTAは「この1つの事象は、なぜ起きるのか」を下に掘ります。
そしてFTAの本当の価値は、確率を計算することではありません。「1つ壊れただけで事故になる経路」を見つけることです。
この記事の要点
- FTAは結果から原因へ下るトップダウンの手法
- 頂上事象の設定で、9割決まる
- 最大の成果は数字ではなくミニマルカットセット
- 1次のカットセットが出たら、設計が負けている
- ANDゲートを壊すのは共通原因故障。掛け算はすぐ嘘になる
1. HAZOPとFTAは、探索の向きが逆
| HAZOP | FTA | |
| 向き | 原因 → 結果（ボトムアップ） | 結果 → 原因（トップダウン） |
| 問い | 何が起こりうるか | これは、なぜ起きるか |
| 広がり | 広く、浅く | 狭く、深く |
| 出発点 | ノードとずれ（No Flow…） | 1つの頂上事象 |
| 得意 | 抜けのない洗い出し | 複合要因の構造化 |
| いつ | 設計レビュー、定期見直し | 重大シナリオの深掘り、事故調査 |
だから、この2つは競合しません。HAZOPで洗い出したシナリオのうち、影響が大きいものを選んでFTAで掘る――という順番になります。
2. 頂上事象の設定で、9割決まる
FTAで最も難しいのは、木を描くことではありません。頂上事象（トップ事象）をどう書くかです。
| 悪い頂上事象 | なぜ悪いか |
| 「タンクの事故」 | 広すぎる。木が発散して終わらない |
| 「レベル計の故障」 | 狭すぎる。これは基本事象であって、結果ではない |
| 「安全上の問題」 | 何を数えているのか分からない |
良い頂上事象は、「起きたかどうかを、後から判定できる」粒度で書かれています。
おすすめの書き方は「設備＋状態＋（場合によっては条件）」です。「貯槽T-101から、可燃性液体が堤内に溢流する」。これなら、何を数えているかが誰にでも分かります。
3. ANDとOR ― 記号より、意味
| ゲート | 意味 | 設計上の意味 |
| ORゲート | 下のどれか1つが起きれば、上が起きる | 弱点が並んでいる。数が増えるほど悪化する |
| ANDゲート | 下が全部そろって初めて、上が起きる | 防護が重なっている。安全設計はここを作る仕事 |
言い換えると、ANDゲートを増やすのが安全設計、ORゲートが増えていくのが劣化です。
木を描いていてORゲートばかりが並ぶなら、それは防護が薄いという診断結果です。記号の使い分けを覚える前に、この意味を押さえてください。
4. 定性的に使う ― ミニマルカットセット
FTAの成果物として、確率よりも先に出てくるのがミニマルカットセット（最小カット集合）です。
定義は難しくありません。「これが全部そろえば頂上事象が起きる、という基本事象の組み合わせのうち、これ以上減らせないもの」です。
そして実務では、その組み合わせに何個入っているか（次数）だけを見ればほぼ足ります。
| 次数 | 意味 | 判断 |
| 1次 | それ1つ壊れただけで、事故になる | 設計として負けている。最優先で潰す |
| 2次 | 2つ重なると事故になる | 2つが本当に独立か、要確認 |
| 3次以上 | 3つ以上必要 | ひとまず健全 |
1次のカットセットが出てきたら、そこで手を止めてください。
確率を計算する必要はありません。単一の故障で事故に至る経路があるという事実だけで、対策の理由としては十分です。
これが、FTAは数字を出さなくても価値があると言われる理由です。
5. 定量的に使う ― 数字を入れてみる
簡単な例で、実際に計算してみます。
頂上事象：貯槽T-101から、可燃性液体が溢流する
木の構造はこうなります。
- ［ANDゲート］溢流 ＝ ①過充填が起きる かつ ②高レベル遮断が働かない
- ① 過充填の要求：0.5回/年（受入れ中に制御系で止まらない）
- ［ORゲート］② 遮断が働かない ＝ レベルスイッチ故障 または ロジック故障 または 遮断弁が閉まらない
| 基本事象 | 要求時故障確率（PFD） |
| レベルスイッチ LSHH 故障 | 0.01 |
| ロジックソルバ故障 | 0.001 |
| 遮断弁が閉まらない | 0.02 |
ORゲートは、値が小さければ足し算で近似できます。
- ②＝ 0.01 ＋ 0.001 ＋ 0.02 ＝ 0.031（厳密に解くと0.0308。誤差1%以下）
- 頂上事象 ＝ 0.5 × 0.031 ＝ 約0.015回/年
- つまりおよそ65年に1回
ORゲートは足し算、ANDゲートは掛け算。基本はこれだけです。
足し算で近似できるのは、値が十分小さいときだけです。0.3や0.5といった値が並ぶと、足し算では1を超えてしまいます。そういう木は、そもそも防護が足りていないというサインでもあります。
6. ANDゲートを壊すもの ― 共通原因故障
ここが、この記事でいちばん伝えたいところです。
ANDゲートの掛け算が成り立つのは、下の事象が互いに独立なときだけです。
さきほどの例に、現実的な条件を1つ加えてみます。
制御用のレベル計と、遮断用のレベルスイッチが、同じノズル・同じ導圧管を使っていたら?
導圧管が詰まれば、①の過充填が起き、同時に②の遮断も働きません。
このとき、木には「導圧管の閉塞」という1次のカットセットが現れます。ANDゲートは絵の上にあるだけで、機能していません。
| 前提 | 頂上事象の頻度 |
| ①と②が独立 | 約0.015回/年（65年に1回） |
| 導圧管を共用（閉塞0.05回/年） | 0.05回/年（20年に1回） |
3倍以上悪化します。しかも悪化の原因は、木の上には描かれていません。
二重化しても、共通原因の分は残る
同じことは、機器を二重化したときにも起きます。
PFD 0.02 の機器を2台並列にすれば、単純計算では 0.02×0.02＝0.0004。しかし、故障のうち一定割合（β）が共通原因で同時に起きるとすると――
| β（共通原因の割合） | 2重化後のPFD | 単純計算との差 |
| 0（完全に独立） | 0.0004 | ― |
| 0.05 | 0.0014 | 約3倍悪い |
| 0.10 | 0.0023 | 約6倍悪い |
| 0.20 | 0.0043 | 約11倍悪い |
二重化の効果は、βで頭打ちになります。同じ型式・同じ設置場所・同じ校正者・同じ電源であれば、βは小さくなりません。
「2つ付けたから100倍安全」という説明を見たら、その2つがどこまで本当に別物かを確認してください。
7. FTAをどこで使うか
| 場面 | 使い方 |
| 設計段階 | HAZOPで出た重大シナリオを掘り、1次カットセットを潰す |
| LOPAの入力 | 防護層のPFDを、内部構造から積み上げて求める |
| SILの検証 | 安全計装機能のPFDavgを、構成要素から計算する |
| 事故調査 | 起きた事象を頂上に置き、「他にどんな経路があったか」を洗う |
| 設備の重要度判定 | どの機器が多くのカットセットに現れるかを見る |
特に事故調査での使い方は、あまり知られていない割に有効です。実際に起きた経路だけを追うと、対策がその経路専用になります。頂上事象を同じにしたまま木を描くと、まだ塞がっていない経路が見えます。
8. 実務での落とし穴
| 落とし穴 | どうなるか |
| 頂上事象が曖昧 | 木が発散し、途中で力尽きる |
| 独立を確かめずに掛ける | 実力より何倍も良い数字が出る |
| 人的要素を入れない | 「運転員が気づく」を暗黙の前提にしてしまう |
| 展開の深さがバラバラ | 細かく描いた枝だけ確率が大きく出る |
| 数字が独り歩きする | 桁の議論だったはずが、有効数字3桁で報告される |
| 作って終わる | 設備変更後に更新されず、実物と合わなくなる |
4つ目は見落とされがちです。枝を細かく描くほど、その枝の確率は積み上がって大きく見えます。木の中で展開の粒度をそろえないと、対策の優先順位が歪みます。
FTAの数字は、桁を見るためのものです。10⁻²か10⁻⁴かを区別するには十分ですが、0.015と0.018のどちらが大きいかを議論する精度はありません。故障率データ自体が、その精度を持っていないからです。
9. 自分の職場で確かめる7つのこと
- 過去に描いたFTAの頂上事象は、後から判定できる書き方ですか。
- 1次のカットセットは出ていませんか。出ていたら、対策済みですか
- ANDゲートの下の事象は、本当に独立ですか。ノズル・電源・空気源・校正者を共有していませんか
- 制御用と遮断用の計器は、別々に取り出していますか。
- 二重化の効果を、単純な掛け算で説明していませんか。
- 木の中で、枝の展開の深さはそろっていますか。
- 設備を変更したあと、FTAを更新しましたか。
まとめ
- FTAは結果から原因へ下る。HAZOPとは向きが逆で、競合しない
- 頂上事象は「後から判定できる」粒度で書く
- ORは足し算、ANDは掛け算。ANDを増やすのが安全設計
- 1次のカットセットが出たら、確率を計算するまでもない
- 共通原因があると掛け算は崩れる。二重化の効果はβで頭打ちになる
- 出てくる数字は桁を見るためのもの
FTAで「なぜ起きるか」を掘ったら、次に問うのは「起きたあと、どう分岐するか」です。そこを扱うのがETA（イベントツリー解析）です。
関連記事
プロセス安全の全体地図
この記事は「プロセス安全・防災」カテゴリの1本です。約100本を6つの領域に整理した地図と、立場・目的別の読む順は、こちらにまとめています。
参考文献
- 安全工学会 監修、新井充・佐藤吉信・高木伸夫・野口和彦・若倉正英 編『実践・安全工学シリーズ2「プロセス安全の基礎」』化学工業日報社、2012年
Amazonで見る - 厚生労働省「化学プラントにかかるセーフティ・アセスメントに関する指針」別添（危険度ランクⅠのプラントに対しFTA・HAZOP・FMEAの実施を求めている）
- 高圧ガス保安協会「リスクアセスメント・ガイドライン Ver.2」（2016年、PDF） 表5にFTAの位置づけ
- NASA「Fault Tree Handbook with Aerospace Applications」（2002年、PDF）
※本記事中の故障率・PFDの数値は、手法の考え方を説明するための仮の値です。実際の評価では、自社の保全実績や公開されている信頼性データベースの値を、適用条件を確認したうえで用いてください。
