動画解説はこちら｜YouTube

計装の信頼性と二重化｜MTBF、1oo2・2oo3 の投票、共通原因故障、有寿命部品の交換

計装の信頼性と二重化のアイキャッチ

※本記事の参考文献には、Amazonアソシエイトのリンク（アフィリエイト広告）を含みます。

二重化していれば安心、とは言えません。二重化が効くのは、2つが同時に壊れず、壊れたことにすぐ気づけて、部品の寿命前に手を入れているときだけです。

計器や DCS の二重化・三重化は、1台が壊れても運転や安全機能を続けるための仕組みです。ところが、同じ原因で両方が一度に壊れる、壊れていることに誰も気づかない、10年を過ぎて部品が一斉に劣化する、という3つの落とし穴があります。

この記事では、信頼性を表す数字（MTBF）、冗長化の形、センサの「投票」である 1oo1・1oo2・2oo3 の違い、共通原因故障、試験の間隔が効く理由、有寿命部品と劣化故障を、計算に深入りせずに説明します。安全計装の目標値（SIL）の決め方は、プロセス安全の記事（SIL の決め方と検証）に譲ります。

この記事の結論

  • 信頼性は MTBF（故障と故障の間の平均時間）が長く、MTTR（直すのにかかる平均時間）が短いほど高い
  • 冗長化には 並列（同時に動かす）・待機（壊れたら切り替える）・m/n（n 台のうち m 台で判断） の3つの形がある
  • 1oo2 は止め損ないに強いが誤停止しやすい。2oo3 は止め損ないにも誤停止にも強い。止める弁は、閉じる弁なら直列、開く弁なら並列に2台置く
  • 二重化しても 導圧管の詰まり・腐食・振動・雷のような共通原因では同時に壊れる。原理の違う計器を組み合わせると強い
  • 異常時にだけ働く機器の 隠れた故障は、試験で見つけるまで続く。試験の間隔が空くほど、働かない確率は増える
  • 故障率は 使い始めと 10〜20 年後に増える。有寿命部品は年数で交換し、周囲温度を上げない

目次

1. 信頼性を表す数字｜MTBF と MTTR

計装の教科書は、信頼性を「アイテムが与えられた条件で規定の期間中、要求された機能を果たすことができる質」という JIS の定義で説明しています。数字で表すときに使うのが次の2つです。

数字意味大きいほど
MTBF故障してから次に故障するまでの平均時間良い（壊れにくい）
MTTR故障してから復旧するまでの平均時間悪い（止まっている時間が長い）

MTBF の逆数が故障率です。MTBF が 1万時間（約1年2か月）なら、故障率は1時間あたり 0.0001 です。

稼働している時間の割合は、MTBF が長く MTTR が短いほど高くなります。壊れにくい機器を選ぶことと、壊れたときにすぐ直せる体制（予備品・手順・人）を作ることは、同じくらい効くのです。

2. 冗長化の3つの形｜並列・待機・m/n

高圧ガス保安技術の教科書は、「絶対に故障しない機器は存在しない」という前提で、冗長化を3つの形に分けています。

形しくみ計装での例
並列冗長同じ機能の機器を同時に動かし、1台が壊れても残りで続けるDCS の直流電源ユニットの並列、複数台の操作画面、1か所の温度を2本の温度計で測り、偏差が大きければ警報
待機冗長1台で動かし、壊れたら待機側に切り替えるDCS のコントローラの二重化
m/n 冗長n 台のうち m 台以上が「異常」と言えば異常と判断する重要なインターロックの検出端の 2 out of 3

待機冗長には弱点があります。計装の教科書は、二重化した制御装置では故障を見つけて切り替える部分そのものは二重化できず、この部分の故障率がシステム全体の信頼性を左右すると書いています。「CPU が2つある」だけでは安心できない理由です。DCS の二重化の具体的な姿は DCS とはで説明しています。コントローラの中の照合と切り替えは制御ループは DCS の中でどう動いているかで扱います。

3. 1oo1・1oo2・2oo3｜センサの投票の違い

安全計装やインターロックでは、センサを何台置き、何台が「異常」と言えば止めるかを決めます。これを「n 台のうち m 台（m out of n）」と書き、1oo2（2台のうち1台）、2oo3（3台のうち2台）のように略します。

1oo1・1oo2・2oo3の違い
1oo1・1oo2・2oo3の違い

センサの故障には2つの向きがあります。

  • 黙る故障（危険側）：本当に異常なのに信号を出さない。止めるべきときに止まらない
  • 叫ぶ故障（安全側）：異常でないのに異常の信号を出す。止めなくてよいのに止まる（誤停止）

この2つに対する強さが、構成によって違います。

構成1台が黙ったとき1台が誤って作動したとき
1oo1（1台）止められない誤って止まる
1oo2（2台のうち1台で止める）もう1台が止める誤って止まる
2oo2（2台とも異常で止める）止められない止まらない
2oo3（3台のうち2台で止める）残り2台で止める止まらない

計装の教科書は、1oo2 にあたる構成を「冗長度大」、2oo3 を「冗長度中だが誤動作に強い」と位置づけています。止め損ないが許されず、誤停止の損失も大きい重要なインターロックに 2oo3 が選ばれるのはこのためです。

注意したいのは試験のときです。プロセス安全の教科書は、1台をバイパスして試験している間、1oo2 は1台だけの構成に、2oo3 は 1oo2 か 2oo2 に下がると説明しています。バイパス中は守りが薄くなっているので、戻し忘れがないか必ず確かめる必要があります。

止める側の弁も同じ考え方で並べます。計装の教科書の冗長化構成の図では、異常時に閉じる弁は直列に2台（どちらか1台が閉まれば止まる）、異常時に開く弁は並列に2台（どちらか1台が開けば逃がせる）です。

制御用の計器でも3台を使うことがあります。教科書の例では、3台の検出器の信号から中間の値を選んで制御に使い、1台が故障しても影響が出ないようにしています。

4. 二重化しても同時に壊れる｜共通原因故障

二重化の最大の敵は、1つの原因で冗長化した全部が同時に壊れることです。これを共通原因故障と呼びます。プロセス安全の教科書は例として、近くを通る複数の導圧管が同じように詰まること、腐食による故障、振動による故障を挙げています。

計装の教科書も、二重化・三重化しても、使っている機器の構造・原理が似ていれば、雷などの原因で同時に故障する可能性があると指摘し、構造・原理の異なる方式の組合せが有利だとしています。身近な例は自動車の燃料計で、フロートで液面を測る燃料計と、サーミスタの温度で燃料切れを知らせる残量警報ランプは、原理が違うので同時には壊れにくい、という説明です。

共通原因は、機器の外にもあります。

  • 導圧管・取出し口の共用：2台の伝送器を同じ導圧管につなぐと、詰まり1つで両方が狂う（導圧管の正しい引き回し）
  • 電源の共用：計装の教科書には、1台のモータを点検するために回転数信号用の電源を切ったら、同じ電源を使う他のモータの信号もゼロになり、制御部がモータを全速で回して焼損させた事例が載っている
  • 制御と安全の共用：制御用の伝送器の故障が異常の原因になると、同じ伝送器を使うインターロックは働かない（DCS と SIS の役割分担）

5. 壊れていることに気づかない｜試験の間隔が効く理由

インターロックの検出端や緊急遮断弁は、普段は何もしていません。だから、壊れていても誰も気づきません。このような故障を隠れた故障（非明示故障）と呼びます。

試験の間隔と、働かない確率
試験の間隔と、働かない確率

隠れた故障は、試験で見つかるまで続きます。プロセス安全の教科書は、要求されたときに働かない確率を次の式で見積もっています。

働かない確率 ≒ ½ × 故障率 × 試験間隔

MTBF が 1万時間（故障率が1時間あたり 0.0001）の機器を1か月（720時間）ごとに試験すると、½ × 0.0001 × 720 ＝ 0.036、つまり約 3.6% です。

同じ教科書は、同じ故障率の機器で比べています。隠れた故障で試験が1か月ごとなら 3.6%、3か月ごとなら 10.8%、6か月ごとなら 21.6% です。故障がすぐ分かり 20 時間で直せる場合は、0.0001 × 20 ＝ 0.002、つまり約 0.2% にとどまります。故障率が同じでも、気づくまでの時間で働かない確率は10倍から100倍違う。二重化で故障率を下げるのと同じくらい、定期試験と自己診断で「早く気づく」ことが効きます。

6. 有寿命部品と劣化故障｜10〜20 年で故障率が上がる

故障率は、時間とともに一定ではありません。計装の教科書は、設置当初は一時的に故障が多く、その後安定し、消耗部品を交換していても 10〜20 年使うと再び故障率が増加すると説明しています。この形がバスタブに似ているので、バスタブ曲線と呼ばれます。

故障率はバスタブの形
故障率はバスタブの形

同じ教科書は、電子部品を規定の使用温度より 10℃ 高い条件で使うと寿命はおよそ半分になるとも書いています。計器室や電気室の空調が止まったまま運転を続けることは、そのまま機器の寿命を縮めます。

劣化故障を避けるには、寿命が決まっている部品（有寿命部品）を年数で交換します。蓄電池、ヒューズ、電解コンデンサ、液晶のバックライトなどが典型で、交換の目安は取扱説明書に書かれています。DCS の部品ごとの交換年数と更新の考え方はDCS の保守と更新にまとめています。

もう1つ、保管中の劣化にも注意が要ります。教科書は、保管中の結露による絶縁劣化やさびを防ぐため、長期保管する予備品は密封して内部を乾燥状態に保つ工夫が大切だとしています。予備品は「棚にある」だけでなく、使える状態で保管されているかまで確かめます。

7. 現場で見る場所

  1. 二重化の片系故障表示：DCS のシステム状態画面や盤のランプで、片側が故障したまま運転していないか。片系運転中は、次の1回の故障で止まる
  2. 2本の計器の偏差：同じ場所を測る2本の温度計・伝送器の差が広がっていないか。偏差の拡大は、どちらかの劣化のサイン
  3. バイパススイッチの位置：試験や保全で使ったインターロックのバイパスが戻っているか
  4. 共用しているもの：P&ID とループ図で、冗長化した計器が同じ取出し口・導圧管・電源につながっていないか
  5. 試験の記録：遮断弁・スイッチ類の作動試験が、決められた間隔で行われているか
  6. 計器室・電気室の温度：空調の停止やフィルタの詰まりで、室温が上がっていないか

8. 先輩に聞かれたら答えられる3問

  1. 1oo2 と 2oo3 は、それぞれどんな故障に強いですか。
  2. 二重化した2台の伝送器が、同時に狂う原因を1つ挙げられますか。
  3. インターロックの試験間隔を3か月から6か月に延ばすと、何が起きますか。

答えは順に、1oo2 は黙る故障（止め損ない）に強いが誤停止しやすく、2oo3 は両方に強い／同じ導圧管の詰まり、腐食、振動、共通の電源、雷など（共通原因故障）／隠れた故障が見つかるまでの時間が延び、要求時に働かない確率がほぼ2倍になる、です。

まとめ

信頼性は MTBF が長く MTTR が短いほど高く、冗長化には並列・待機・m/n の3つの形があります。センサの投票は、1oo2 が止め損ないに強く誤停止しやすい、2oo3 が両方に強い、という違いがあり、止める弁は閉じる弁なら直列、開く弁なら並列に置きます。

ただし二重化は、共通原因故障（導圧管の詰まり、腐食、振動、電源、雷）、試験で見つけるまで続く隠れた故障、10〜20 年で増える劣化故障には無力です。原理の違う計器を組み合わせ、決められた間隔で試験し、有寿命部品を年数で交換し、機器の周囲温度を上げないことで、はじめて二重化が働きます。

関連記事

この章（DCS・監視操作）の記事　カテゴリの一覧

あわせて読みたい

参考文献

  • 川村貞夫・石川洋次郎『メーカーの技術者が書いた やさしく計装がわかる 工業計測と制御の基礎』工業技術社, 7.1「信頼性」（7.1.1〜7.1.3、図7.1〜7.4）、7.2.3「安全計装システム」4)「計器やバルブの冗長化構成」、【解説】モータ焼損事故の例 　Amazonで見る
  • 高圧ガス保安協会『高圧ガス保安技術』, 11.8.6「安全計装」c) 冗長システム 　最新版をAmazonで見る
  • 安全工学会監修『実践・安全工学シリーズ2「プロセス安全の基礎」』化学工業日報社, 第4章 6-7（明示故障と非明示故障のアンアベイラビリティの比較）、第7章 5-6「計器および緊急遮断弁の冗長化構成と故障率」 　Amazonで見る
化学プラントニュース―週報と事故速報をわかりやすく紹介するnoteマガジン PLANT NEWS ON NOTE 化学プラントニュース 化学・石油プラントの重要ニュースを、毎週の週報と事故速報でお届けします。現場で押さえたい動きを、わかりやすく整理します。 noteで最新ニュースを読む

前の記事

制御ループは DCS の中でどう動いているかのアイキャッチ
制御ループは DCS の中でどう動いているか｜機能ブロック・制…

次の記事

DCS の保守と更新｜有寿命部品・バックアップ・予備品、更新計…
DCS の保守と更新のアイキャッチ