化学プラント大全 ※本記事の参考文献には、Amazonアソシエイトのリンク（アフィリエイト広告）を含みます。
化学プラントの安全設計は、ひとつの対策で成り立っているのではありません。複数の層が重なり、前の層が破られても次の層が受け止めるという構造でできています。これを多重防護といいます。
ところが実務では、この層の構造が意識されないまま「とりあえずインターロックを追加」「安全弁を大きく」という対策が積み上がりがちです。結果として同じ層ばかりが厚くなり、薄いままの層が残ります。
この記事では、プラント安全設計の4段階と、米国で提唱された独立防護層（IPL：Independent Protection Layer）の8層を整理します。LOPAで「防護層をいくつ数えられるか」を判断するときの土台になる考え方です。
この記事の結論
- 安全設計は①異常を起こさない ②早く気づく ③事故にしない ④被害を広げないの4段階で考える
- 異常の早期検知は事故予防の「必要条件」。検知できなければ、運転員の対応も安全システムの作動も起こらない
- 独立防護層はIPL1（プロセス設計）からIPL8（地域防災計画）までの8層
- IPL3までは「運転員が介入する時間的余裕がある場合」にのみ成立する
- 層が「独立」でなければ多重防護にならない。1つの欠陥が他の層に波及しないことが条件
1. 多重防護 ― 設計を4つの段階で考える
プロセスプラントは、塔槽類・反応器・熱交換器・回転機械・加熱炉・貯槽といった要素設備が配管でつながり、制御システムで動かされている大規模システムです。
ここで重要なのは、1つの機器の不調はその機器の周辺だけに影響するのではないということです。上流あるいは下流へ異常が伝播し、危険事態につながります。だからこそ、設計を段階に分けて考えます。
| 段階 | 設計の狙い | 設計面での方策 |
| ① 異常の発生防止 | プロセス異常を発生させない | 機器の健全設計／機器の信頼性確保／ユーティリティの信頼性確保／誤操作防止対策 |
| ② 異常の早期検知 | プロセス異常を早期に検知する | プロセス特性を考慮した異常検知システム |
| ③ 事故予防 | 異常が発生しても事故にまで進展させない | フェイルセーフ設計／プロセス安全インターロック／圧力放出設備 |
| ④ 被害の局限化 | 事故が発生しても被害を拡大させない | プラントレイアウト／防消火設備／漏えい検知システム／緊急遮断弁／耐火設計 |
対策を検討するときは、自分がいま何段階目の話をしているのかを意識するだけで議論の質が変わります。
2. 第1段階：異常の発生防止設計
プロセス状態を正常に維持する、つまり異常を起こさないための設計です。これは安全面だけでなく生産性の向上にも大きく寄与します。
設備・機器の健全性維持
設備が機能的にも構造的にも健全であれば、誤操作や思いがけない外乱がない限りプロセスは正常に保たれます。具体的には次の配慮です。
- 意図した運転範囲における最大負荷での機器設計
- 応力腐食割れ・水素脆化・エロージョンコロージョン・高温腐食を防止するため、取り扱う流体の特性と運転温度を考慮した材料選定
- 余裕をもった肉厚の確保
- 配管の振動や繰り返し応力への配慮
- 重量構造物基礎の不同沈下・不等沈下の防止
長年の運転経験と実績のあるプロセスなら、関連法規・国際規格・企業ごとの技術基準といった設計標準を採用することで基本的な健全性は確保されます。ただし設備は時間とともに劣化します。設計での配慮とあわせて、日常点検、定修時の気密・耐圧試験、腐食・肉厚の確認、回転機械の分解検査が欠かせません。
ユーティリティの信頼性確保
電力・計装用空気・冷却水・スチームは、プラントに欠かせない重要なユーティリティです。これらが止まると何が起きるかを整理しておきます。
| 喪失するもの | 起きること | 信頼性向上の方策 |
| 電力 | 電動ポンプ・コンプレッサ・エアフィンクーラーが停止 | 買電に加えて自家発電設備、ディーゼル発電機、無停電電源。重要機器へ優先供給するロードシェディング |
| 計装用空気 | 空気駆動の調節弁が機能喪失 | コンプレッサの冗長化、余裕のある空気ホルダー、喪失時に窒素へ切り替わるバックアップ |
| 冷却水 | クーラー・コンデンサーが機能喪失。温度・圧力が上昇 | 駆動方式の異なる予備ポンプの自動起動、一定時間分のホールドアップ、複数系統の連絡 |
実務で見落としがちなのが、緊急遮断弁や緊急脱圧弁のような「安全上の重要度が高いON-OFF弁」への配慮です。計装空気の主系統が故障しても数回の開閉動作ができるよう、それぞれの弁に十分な容量の空気ポットを持たせておくのが基本です。
ユーティリティは異常の発生防止だけでなく、緊急事態への対応や事故時の被害拡大防止でも重要です。そのときに一緒に失われては意味がありません。
誤操作防止設計
人間は過誤を犯す習性を持っています。それを前提に、設計面から対策を講じます。
- アラームには重要度をつけ、表示と警告音を変える。プロセスアラームが一度に多数作動すると、運転員の正確な判断の妨げになります
- 他系列の似た設備での勘違いを防ぐため、操作内容やスイッチの配列を可能な限り統一する
- 制御器の個数は必要最小限に。むやみに増やさない
- 表示器は制御器のそばに置く。操作方向は、機械の応答方向や表示器の応答方向と矛盾させない
- 慣習に反した設計を控える。「時計方向に回せば値が増える」「赤は危険」は運転員の身体に入っています
- 明らかに意図に反した操作が行われた場合は、過誤が発生したことを運転員に知らせる。そして修復手段が複数ある場合は急がせず、十分な情報と時間を与える
最後の項目は、事故調査報告書を読むと痛感します。焦った状態で複数の選択肢を突きつけられた運転員が、最悪の一手を選んでしまう。それは人の問題ではなく、インターフェース設計の問題です。
3. 第2段階：異常の早期検知設計
ここが、多重防護の中で最も軽視されがちで、しかし最も本質的な層です。一次資料はこう言い切っています。
異常が検知できなければ運転員による対応や安全システムの作動も不可能となる。
異常の早期検知は事故予防にあたっての必要条件といえる。
どれだけ立派なインターロックを設計しても、その作動を決めるセンサーが異常を捉えられなければ何も起きません。三井化学岩国大竹の事故で、運転員が見ていた温度計が反応器下部のものだったために上部の温度上昇に気づけなかった、というのはまさにこの層の破綻です。
何を監視するか
| 対象 | 監視すべきパラメータ |
| 一般的なプロセス | 温度、圧力、流量、液レベル |
| 反応工程 | 上記に加えて副生物の組成 |
| 酸素取扱い工程 | 上記に加えて酸素濃度 |
| 回転機械 | 軸受部の摩耗度合い、異音、振動、潤滑油の温度・圧力 |
異常状態が軽度のうちに運転員が適切に対応すれば、正常状態へ回復できます。温度や圧力の若干の逸脱、回転機械の振動や異音。この段階で捕まえられるかどうかが、その後のすべてを決めます。
4. 第3段階：事故予防設計
異常がさらに進展すると、正常運転範囲を大幅に逸脱して緊急事態になります。放置すれば機器の損傷・破裂・爆発に至ります。
一次資料が挙げる「事故につながる危険性のある緊急事態」は次のとおりです。自分のプラントにどれがあるかを数えてみてください。
- 機器の破損につながる、運転許容範囲を超えた圧力や温度の異常上昇
- 高圧の塔槽類から下流の低圧系へガスが吹き抜け、下流設備の破壊につながる塔槽類の液レベル異常低下
- 高揚程・高速回転ポンプの損傷につながる容器液レベルの異常低下
- 反応暴走につながる反応器温度の異常上昇
- 気相酸化プロセスにおける空気－可燃性ガス組成比の大幅な逸脱
- 高差圧ポンプの故障停止による下流からの高圧流体の逆流
- コンプレッサの損傷につながるサクションドラムからの液のオーバーフロー
これらの段階まで進展すると、時間的な制約や操作の複雑さから、運転員がボードや現場で対処することは困難です。だから設備面で対策します。
- 機械的な安全設備：安全弁、破裂板といった圧力放出設備
- 自動で作動する安全システム：緊急脱圧、反応抑制剤の注入、コンプレッサ停止などのプロセス安全インターロック
- 運転員判断による遠隔操作：ボードからの回転機械停止、装置内容物の緊急移送
- フェイルセーフ設計：計装用空気喪失時に、調節弁が安全な方向へ動くよう決めておく
5. 第4段階：被害の局限化設計
事故が起きてしまった後、被害を広げないための設計です。一次資料の例が実感を持って読めるので紹介します。
減圧蒸留塔の塔底ポンプからの漏えい
高温の減圧残渣油が漏れると、自然発火により火災になる危険性が高い。火災が起きればポンプを停止して消火活動に入るが、ポンプを止めても熱油の漏えいは続き、火災は拡大しうる。
止めるにはポンプ前後弁を閉じるしかないが、火災時に手動で閉じることは容易ではない。だから、現場または計器室から遠隔で閉止できる遮断弁をポンプ前後に設置する。
この例には、被害局限化の設計思想が凝縮されています。
- 遮断弁は電動弁や油圧弁が一般的。火炎にあぶられて高温になると温度ヒューズが切れて自動作動する特殊な緊急遮断弁もある
- モーター駆動の遮断弁の電気ケーブルは、火炎にさらされても機能を維持できるよう耐火被覆する。ここを忘れると、肝心なときに動きません
- プラントをいくつかの圧力区分に分割し、区分ごとに遮断弁を設置する
- 高圧の塔槽類や接続配管から漏えいした場合に圧力を下げて漏えい量を抑制する遠隔駆動の脱圧弁
漏えいしたら「着火させずに処理する」
可燃性のガスや液体が漏えいした場合、着火させずに安全に処理しなければなりません。
- 漏えいを早期に検知するガス検知設備の適切な配置と、防爆仕様の電気設備
- 漏えいした可燃性ガスが風下に拡散し、濃度が薄まらないまま加熱炉やボイラーなど火気取扱い設備に到達すればガス爆発につながる。だから加熱炉周囲にはガス希釈用のスチームカーテンやウォーターカーテンを検討する
- 毒性ガスの漏えい時は危険範囲が遠方まで達しうるため、事業所の敷地境界にカーテンを設置してガスを希釈し、危険範囲を局限化する
目的別の対策一覧
| 目的 | 防災設備・対策の例 |
| 流出量の局限化 | ガス・油検知警報システム、過流防止弁、漏えい箇所の緊急遮断弁、工程ごとの緊急遮断弁、緊急脱圧弁、緊急移液設備 |
| 流出液体の拡大防止 | 貯蔵設備の防油堤・防液堤、ユニット区画ごとの仕切堤、プラント設備区画ごとの仕切堤 |
| 着火源の管理 | 防爆電気設備、可燃性ガスの希釈・拡散のためのスチームカーテン／ウォーターカーテン、静電気安全対策、避雷針 |
| 火災・爆発発生時の拡大防止 | 設備間距離、レイアウト、火災検知器、消火設備、散水設備、ウォーターカーテン、防火壁、耐火・耐爆構造 |
| 緊急時対応 | 消防車など緊急用アクセス、非常照明設備、構内連絡用通信設備、監視カメラ、避難経路の確保 |
設備的な対策とあわせて、事故を想定した緊急対応計画と防災訓練が重要である、と一次資料は締めくくっています。
6. 独立防護層（IPL）― 8つの層
米国では、防護層をIPL1からIPL8までの8層として整理するコンセプトが提唱されています。LOPAで防護層を数えるときの基礎になる分類です。
| 層 | 領域 | 内容 |
| IPL1 | プロセス設計 | 本質安全の領域。常温常圧近傍で運転できないか、危険物の滞留量を最小化できないか。事故予防と被害局限化の両方を視野に入れる |
| IPL2 | 基本プロセス制御システム（BPCS） | DCSなどの制御システムで安全・安定な運転を維持し、異常の発生を防ぐ。定常運転時の制御、警報、運転員の監視はこの層 |
| IPL3 | 運転員による介入 | IPL2の警報と区別される重要警報を発して運転員の介入を促し、緊急事態に陥ることを防ぐ |
| IPL4 | 安全インターロック | 時間的余裕がなく運転員の介入が間に合わない場合に、安全計装システムが自動で機器停止やプラントシャットダウンを行う |
| IPL5 | 物理的防護（系内） | 安全弁・破裂板などの圧力放出設備により、過圧による設備破壊を防ぐ |
| IPL6 | 物理的防護（系外） | 防油堤・防液堤により、漏えいした危険物質の液面拡大を局所化する |
| IPL7 | プラント内緊急対応計画 | 事故発生時に事業所内の被害を局限化する |
| IPL8 | 地域防災計画 | 敷地外緊急時対応計画により、事業所敷地外の地域住民や公共設備への被害の波及を局限化する |
この並びを見ると、いくつか気づくことがあります。
まずIPL1が本質安全設計であること。防護層の第1層は、装置ではなく設計思想です。ここが厚ければ、以降の層への要求が軽くなります。
次にIPL7・IPL8がプラントの外にあること。緊急対応計画や地域防災計画も、れっきとした防護層として数えられています。設備だけが安全を担っているのではありません。
7. 「独立」であることの意味
この考え方の名前は「防護層」ではなく「独立防護層」です。この一語が決定的に重要です。
IPL1からIPL6までのそれぞれの領域で講じられる対策は、一つの防護層の対策の欠陥が、他の防護層の対策に支障を生じさせることがないよう、独立性を維持していることが必要である。
実務上、最も破られやすいのがIPL2（BPCS）とIPL4（安全インターロック）の独立性です。同じDCSの中に制御ロジックと安全ロジックを同居させると、この2つは独立ではありません。DCSが落ちれば両方が同時に失われます。
センサーも同じです。制御用の温度計をインターロックにも使っていれば、その1本が壊れた瞬間に2層が同時に消えます。「層が2つある」と数えていたものが、実は1つだったということになります。
IPL3には前提条件がある
もうひとつ重要な条件があります。IPL3（運転員による介入）までは、運転員の介入のために必要な時間的余裕がある場合に適用されるということです。
異常の進展が速いプロセスでは、警報を出しても人は間に合いません。その場合、IPL3は防護層として数えてはいけない。LOPAで防護層を数えるときに最も判断が甘くなるのが、まさにここです。
8. 現場でやりがちな失敗
失敗1：対策が第3段階（事故予防）に偏る
トラブルのたびにインターロックと安全弁が増えていく職場は少なくありません。しかし異常が起きにくい設計（第1段階）と、早く気づく仕組み（第2段階）が薄いままでは、防護層は分厚くなりません。むしろインターロックが増えるほど誤作動と解除が増えます。
失敗2：独立していない層を数える
同じDCS、同じセンサー、同じ電源。共通要因があれば、それは1つの層です。LOPAでリスク低減量を掛け算するとき、この誤りは結果を桁で狂わせます。
失敗3：早期検知を「計器があるから大丈夫」で済ませる
問われるのは計器の有無ではなく、危険が現れる場所を見ているかです。反応器の下部だけを見ていて上部の発熱に気づけない、といった配置の問題は、図面上では見えません。
失敗4：被害局限化の設備を「あるだけ」で終わらせる
遮断弁のケーブルが耐火被覆されていない。防液堤に雨水抜きのバルブが開いたままになっている。被害局限化の設備は、使うのが事故のときだけなので、劣化や不備が見つかりにくいという性質があります。定期的に現物を見てください。
まとめ
- 安全設計は①異常の発生防止 ②早期検知 ③事故予防 ④被害の局限化の4段階
- 早期検知は事故予防の必要条件。検知できなければ、他のすべての層が動かない
- 独立防護層はIPL1（プロセス設計＝本質安全）からIPL8（地域防災計画）までの8層
- IPL3（運転員の介入）は、時間的余裕がある場合にのみ層として数えられる
- 同じDCS・同じセンサー・同じ電源を共有する層は、独立ではないので1つの層
多重防護は「たくさん対策を打つこと」ではありません。性質の違う層を、独立に、順序立てて重ねることです。層の名前を言えるようになると、自分の職場のどこが薄いかが見えてきます。
