化学プラント大全 プラントで危険な箇所が見つかったとき、多くの現場でまず出てくる対策はこれです。
「インターロックを付けよう」「安全弁を大きくしよう」「手順書に注意事項を追記しよう」
どれも間違いではありません。しかし対策には明確な優先順位があり、上に挙げた3つはいずれも上位ではないのです。最も強い対策は、危険そのものを設計から消してしまうこと。それが本質安全設計（Inherently Safer Design）です。
この記事では、プラントの安全化方策を4つの類型に整理したうえで、本質安全設計の4原則と、化学プラントでの具体例を解説します。「材質を上げるのは本質安全か？」という現場でよくある論点にも、はっきり答えを出します。
この記事の結論
- 安全化方策は運転対応 → 能動的 → 受動的 → 本質安全の順に強くなる
- 本質安全設計の4原則はMinimize（減らす）／Substitute（替える）／Moderate（和らげる）／Simplify（単純にする）
- 本質安全は「守る対策」ではなく「危険をなくす対策」。守る対策は故障するが、無いものは漏れない
- 材質を上げるのは本質安全ではなく「受動的安全」。区別できないと対策の順位を誤る
- 効くのは設計の早い段階。運転開始後にできることは急速に減る
1. プラント安全化方策の4類型
安全工学会の『実践・安全工学シリーズ2』は、プラント安全にあたっての方策を次の4つに分類しています。この分類は、対策を考える順番を決めるうえで非常に使いやすいものです。
| 類型 | 考え方 | 例 | 強さ |
| 運転対応安全 | 異常を検知したら運転員が操作して安全を確保する | アラーム発報 → 運転員が復帰操作 | 最も弱い |
| 能動的安全 （Active Safety） | 安全システムを作動させて事故を防ぐ・被害を抑える | プロセス安全インターロック、緊急遮断弁、緊急脱圧、消火設備、スチームカーテン | ↑ |
| 受動的安全 （Passive Safety） | 装置自体の強度・物理的性質で守る。動くものがない | 最高温度・最高圧力での設計、耐火設計、耐爆設計、防液堤 | ↑ |
| 本質安全 （Inherent Safety） | 危険そのものを小さくする・なくす | 保有量の低減、危険物質の代替、緩和運転条件の採用 | 最も強い |
なぜこの順番なのか
理由はシンプルで、下に行くほど「壊れる余地」が減るからです。
- 運転対応は、人が気づき、正しく判断し、正しく操作することが前提です。異常の進展が速ければ間に合いませんし、アラームが同時多発すれば対応能力を超えます。教育や危険予知で底上げはできますが、原理的に不確実です
- 能動的安全は、通常は待機状態にあり、作動要求が来たときだけ動きます。だからこそ「そのとき本当に動くのか」が問われ、冗長化と定期点検で信頼性を維持し続けなければなりません
- 受動的安全は駆動部がないぶん信頼度が高い一方、コストは高くなる傾向があり、材料欠陥・経年劣化・施工不良があれば機能を失います
- 本質安全には、そもそも故障するものがありません。無い物質は漏れず、低い圧力は吹き飛ばしません
同じ危険に対する、能動的対策と受動的対策の実例
類型の違いは、具体例で見るといちばん腑に落ちます。一次資料に載っている2つの例を紹介します。
例1：高圧ガスの吹き抜け
高圧側の容器から低圧側の容器へ液を送るシステムで、液面調節弁が故障で全開になると、上流の液レベルが下がりきって高圧ガスが低圧側へ吹き抜け、低圧容器が破裂する危険があります。
| 対策 | 内容 |
| 基本 | 吹き抜け流量を考慮した安全弁を低圧側容器に設置する |
| 能動的安全 | 上流容器の液レベル異常低下を検知し、緊急遮断弁を作動させるインターロックを設ける |
| 受動的安全 | 下流の容器を上流と同じ設計圧力にする |
受動的対策なら、吹き抜けが起きても破裂せず、ガスを容器内に閉じ込められるため環境への影響も防げます。
なお欧米では、放出やフレア燃焼をできるだけ抑えるという環境意識の高まりから、安全弁は「圧力危険に対する最終防護」と位置づけ、できるだけ安全弁を作動させずに安全を確保するという考え方が広まっています。またこのインターロックでは、液レベル異常低下を検知するセンサーと緊急遮断弁をプロセス制御系とは独立に設置するのが原則です。
例2：低温脆性破壊
−120℃の低温ガスを加熱器で10℃まで昇温するシステムを考えます。加熱器の入口配管はステンレス鋼、出口配管は常温仕様の炭素鋼です。通常運転では問題ありませんが、熱媒が停止すると−120℃のガスが炭素鋼配管に流れ込み、低温脆性で破壊する危険があります。
| 対策 | 内容 |
| 能動的安全 | 熱媒流量の異常低下、または出口ガス温度の異常低下を検知して緊急遮断弁を作動させる |
| 受動的安全 | 出口側配管も入口側と同じステンレス鋼にする |
受動的対策のほうが圧倒的にシンプルです。ただし、どちらを採るかは適用限界・インターロックの信頼度・経済性を考慮して決めます。たとえば遠心式コンプレッサのサクションドラムからの液のオーバーフローに対しては受動的対策が適用できず、液レベル異常上昇を検知してコンプレッサを停止させる能動的対策によらざるを得ません。
2. 本質安全設計の4原則
本質安全設計は、英国の T. A. Kletz が「Inherently Safer Design」として体系化した考え方です。現在は次の4原則に整理されるのが一般的です。
| 原則 | 意味 | 問いかけ |
| Minimize（減らす） | 危険物質の保有量を減らす | そんなに持っている必要があるか？ |
| Substitute（替える） | より危険性の低い物質・プロセスに替える | そもそも、この物質を使わずに済まないか？ |
| Moderate（和らげる） | より穏やかな条件（低温・低圧・希釈）で扱う | もっと優しい条件で運転できないか？ |
| Simplify（単純にする） | 複雑さを減らし、間違えようのない設計にする | 間違えたくても間違えられない形にできないか？ |
Kletz の原典では「影響の限定（Limitation of effects）」を含めた分類も示されています。4原則は現在広く使われている整理の仕方です。
Minimize：保有量を減らす
漏洩事故が起きても影響を局限化するため、危険物質の保有量をできるだけ小さくします。持っていない物質は漏れません。
フリックスボロー事故では、直列に並んだシクロヘキサン酸化反応器の系に約120トンという大量の可燃性物質が保有されていたことが、被害規模を大きくしたと報告されています。バイパス配管の破損は引き金にすぎず、被害の大きさを決めたのは保有量でした。
実務での具体策は次のとおりです。
- 撹拌効率を上げて反応器を小さくする。反応器の保有量が大きくなる原因は、反応速度が遅いことではなく、撹拌が不十分で反応物質の接触が不十分なことに起因している場合が多いのです。バッチ式から連続式撹拌型反応器へ切り替える、ジェット混合・エジェクター・スタティックミキサーのような駆動部のないミキサーを使う、といった手が有効です
- 単位操作機器を別タイプに替える。抽出塔に替えて遠心式抽出器、混合容器に替えてラインミキサーを使えば、保有量は大きく下がります
- 中間タンクを疑う。「そのプロセス中間タンクは本当に必要か」は、チェックリストにも載っている問いです
- 配管長を最短にする。危険物質の配管長さを最短にする配置になっているかを確認します
Substitute：より安全な物質に替える
初期の飛行船は水素ガスを使用していたため爆発事故が多発しました。高価でも不活性なヘリウムに代替したことで、爆発危険はなくなりました。これがSubstituteの典型です。
化学プラントでは、こちらの事例のほうが実感が湧くはずです。
スルフォン化反応器の冷却剤
25%発煙硫酸とニトロベンゼンのスルフォン化反応は発熱反応のため、反応器内部に炭素鋼製の冷却コイルを設置し、水を冷媒として使っていました。
ところが冷却水コイルが腐食して孔があき、水が反応器内に流入。発煙硫酸と反応して温度・圧力が上昇し、反応器が破裂しました。
本質的な対策は、水の代わりに、発煙硫酸と接触しても問題のない灯油などを冷却剤に使うことです。コイルに孔があいても、危険な反応は起こりません。
その他の代替の視点も、チェックリストとして押さえておきたいところです。
- プロセスやケミストリーの代替により、危険な原料・中間製品・副生品を除去できないか
- 不燃性の溶剤、揮発性の低い原料、反応性の低い原料、より安定な原料に代替できないか
- 高温で不安定・低温で凍結する物質を扱う機器には、最高温度・最低温度に限界のある熱媒・冷媒を使えないか（＝暴走しても、その温度以上には上がらない冷熱媒を選ぶ）
Moderate：より穏やかな条件で扱う
危険物質を希釈して使う、常温・常圧あるいは低温・低圧で貯蔵する、といった「危険性の小さい運転条件」を選びます。
液化プロパンの貯蔵で、常温・高圧の球形タンクと低温・常圧の低温タンクを比べてみます。どちらも底部の接続配管が同じ開口面積で破裂したとしましょう。
| 常温・高圧（球形タンク） | 低温・常圧（低温タンク） | |
| 漏洩量 | 貯蔵圧力が高いため大きい | 常圧貯蔵のため小さい |
| 漏洩後の挙動 | 過熱状態にあるため、大気中に出た瞬間に一部がフラッシュ気化し、大量の可燃性蒸気雲を形成 | フラッシュ気化する量はわずか。地面・風・日射からの入熱で徐々に気化するため、蒸気発生量ははるかに小さい |
| 蒸気雲の規模 | 大きい | 相対的に小さい |
さらに低温タンクの場合、防液堤を高くして液の接触面積を小さくすれば、蒸発量をいっそう抑えられます。同じ物質を同じ量だけ持っていても、条件を和らげるだけで事故の姿がここまで変わるのです。
その他の視点です。
- 触媒を使う、あるいはより良い触媒を使うことで、反応条件（温度・圧力）を緩和できないか
- それほどシビアでない条件で運転できないか。反応収率が下がるなら、原料のリサイクルで補えないか
- 無水アンモニアに替えてアンモニア水、塩酸ガスに替えて塩酸水溶液、発煙硫酸に替えて硫酸というように、形態の選択で危険ポテンシャルを下げられないか
- 原料の供給圧力は、供給容器の使用圧力より低くできないか
Simplify：単純にする
複雑なプラントは、複雑な間違え方をします。Simplifyは、間違えたくても間違えられない設計を目指す原則です。
- 誤操作による潜在危険を「創出できない」機器設計にする。たとえば、不適切なバルブ操作の組み合わせが物理的に成立しないようにする
- シビアなプロセスステップは、1つの多目的容器で兼用せず、独立した別々の容器で行う。複雑性が下がり、原料・ユーティリティ・付帯機器の数も減ります
- 考えられる最悪の事態に耐える強度で設計する。これができれば、圧力を逃がす複雑な仕組みそのものが不要になります
- バルブ・スイッチ類の識別性を上げる。似た形状のバルブが並ぶ、装置と逆の配列になっている、といった状態は誤操作を誘発します。開閉方向の表示、開閉状態の表示、計器の配置と標識に人間工学的な配慮を入れます
誤操作防止は設計段階で織り込むほど有利です。操業段階での修正や改造が不要になり、コスト的にも経済的だからです。
3. 「材質を上げる」は本質安全ではない
ここが、現場で最も誤解されるポイントです。
先ほどのスルフォン化反応器の例に戻りましょう。「冷却コイルが腐食して孔があいたのだから、炭素鋼をステンレス鋼に変えればいい」──これは自然な発想です。しかし一次資料は、この対策を明確にこう位置づけています。
冷却用コイルを炭素鋼から高級材質であるステンレスに変更することは受動的安全に沿った考え方といえる。
材質を上げても、「水と発煙硫酸が接触したら暴走する」という危険そのものは残ったままです。腐食速度が遅くなり、孔があくまでの時間が延びるだけ。いつか孔があけば、同じ事故が起きます。
対して冷媒を灯油に替えれば、コイルに孔があいても暴走反応は起こりません。これが「守る」と「なくす」の違いです。
| 対策 | 類型 | 危険は残るか |
| 運転員が冷却水の導電率を監視し、異常時に手動停止 | 運転対応安全 | 残る |
| 反応器温度上昇を検知して緊急停止するインターロック | 能動的安全 | 残る |
| 冷却コイルをステンレス鋼に格上げ | 受動的安全 | 残る |
| 冷媒を水から灯油に変更 | 本質安全 | 消える |
もちろん、材質格上げが悪い対策だという話ではありません。受動的安全は駆動部がなく信頼度の高い、優れた対策です。問題は、それを本質安全だと思い込んで、そこで検討を止めてしまうことです。
4. いつ検討するのか ― 早いほど効く
本質安全設計には、決定的な制約があります。プロセスのライフサイクルが進むほど、選択肢が急速に減るということです。
| 段階 | できること |
| 研究・プロセス開発 | 反応経路の選択、溶媒の選択、原料の選択（＝Substituteが自由に効く最後の機会） |
| 基本設計 | 反応形式（バッチ／連続）、運転条件、保有量、レイアウト |
| 詳細設計 | 機器仕様、材質、配管ルート、計装（このあたりから受動的・能動的が中心に） |
| 建設・試運転 | ほぼ能動的安全と運転対応のみ |
| 操業中 | 大規模な本質安全化は、更新・改造のタイミングを待つことになる |
だからこそ、HAZOPの前、設計レビューの最初に本質安全のチェックを回すことに意味があります。HAZOPで「対策：インターロック追加」と書き込む前に、「そもそもこの危険をなくせないか」を一度は問う。この一手間が、その後20年の運転コストと安全性を左右します。
5. 本質安全設計チェックリスト
設計レビューやHAZOPの冒頭で使える形にまとめました。
| 原則 | チェック項目 |
| Minimize | すべてのプロセス機器は、危険物質の保有量を最小にするよう設計されているか |
| Minimize | プロセス中間タンクの保有量は最小化されているか。その中間タンクは本当に必要か |
| Minimize | 保有量を減らすため、単位操作機器を別のタイプにできないか |
| Minimize | 危険物質の配管長さを最短にする配置になっているか |
| Substitute | プロセス・ケミストリーの代替で、危険な原料・中間製品・副生品を除去できないか |
| Substitute | 不燃性・低揮発性・低反応性・より安定な原料に代替できないか |
| Substitute | 最高／最低温度に限界のある熱媒・冷媒を使えないか |
| Moderate | 触媒の採用・改良で、反応条件（温度・圧力）を緩和できないか |
| Moderate | より安全な形態（水溶液化・希釈・低温常圧貯蔵）を選択できないか |
| Moderate | 原料の供給圧力は、供給側容器の使用圧力より低くできないか |
| Simplify | 誤操作による潜在危険を創出できないような機器設計になっているか |
| Simplify | シビアなプロセスステップを、1つの多目的容器に押し込んでいないか |
| Simplify | 考えられる最悪の事態に対して、その最大圧力に耐える強度設計ができないか |
| 配置 | プロセスユニットは、隣接危険施設からの影響を低減し、従業員・オフサイト・他ユニットへの影響を局限化する配置になっているか |
6. 現場でやりがちな失敗
失敗1：対策の類型を意識せずに議論する
「インターロック追加」と「材質格上げ」と「運転手順への注意記載」を、同じ土俵で比較していませんか。強さがまったく違います。対策案を出したら、必ず4類型のどれかにラベルを貼るだけで議論の質が変わります。
失敗2：本質安全化が別のリスクを生むことに気づかない
本質安全は万能ではありません。溶剤を水系に替えれば火災危険は下がりますが、腐食環境は変わり、廃水処理の負荷は増えます。低温貯蔵に替えれば蒸気雲は小さくなりますが、低温脆性という別の危険が生まれます。危険を消したのか、移しただけなのかを必ず確認してください。
失敗3：運転開始後になってから議論を始める
操業中のプラントで「反応経路を変えよう」という話は、まず通りません。本質安全は設計の上流で問うべき論点です。既存プラントでは、更新・増設・プロセス変更のタイミングが数少ないチャンスになります。
失敗4：コスト比較を初期投資だけで行う
能動的安全は、設置して終わりではありません。定期点検、機能試験、部品交換、教育訓練が運転期間中ずっと続きます。本質安全化は初期投資が高く見えても、ライフサイクルコストでは安くなることが少なくありません。Kletzが著書のタイトルに「より安く、より安全なプラント」という趣旨を掲げたのは、まさにこの点です。
まとめ
- プラントの安全化方策は運転対応 → 能動的 → 受動的 → 本質安全の順に強くなる。下に行くほど「壊れる余地」が減るため
- 本質安全設計の4原則はMinimize / Substitute / Moderate / Simplify
- 材質格上げは受動的安全であって本質安全ではない。危険そのものは残る
- 効くのは設計の上流。HAZOPで対策を書き込む前に、一度は「なくせないか」を問う
- 本質安全化が別のリスクへ移し替えていないかを必ず確認する
安全弁もインターロックも、必要な設備です。しかしそれらはすべて「危険がそこにある」ことを前提にした対策です。その前提自体を疑えるのは、設計者だけ。本質安全設計とは、その問いを制度として組み込む考え方です。
参考文献
- 安全工学会 監修、新井充・佐藤吉信・高木伸夫・野口和彦・若倉正英 編『実践・安全工学シリーズ2「プロセス安全の基礎」』化学工業日報社、2012年、第3章「プロセス安全設計の基礎」4節「プラントの安全化方策の類型分類」pp.71-80、5節「プラント安全における多重防護」pp.81-92
- Center for Chemical Process Safety / AIChE 著、化学工学会 SCE・Net 安全研究会 訳『若い技術者のためのプロセス安全入門』丸善出版、2018年
- T. A. Kletz による Inherently Safer Design（本質安全設計）に関する一連の著作（邦訳あり）
- The Flixborough Disaster: Report of the Court of Inquiry, HMSO, 1975
