化学プラント大全 インターロックは、化学プラントの安全を最後の一線で支えるシステムです。ところが実務では、こんな会話が当たり前のように交わされます。
「あのインターロック、邪魔だから解除しておいて」
「立ち上げ中だけバイパスしておきます」
2012年の三井化学岩国大竹工場の爆発事故は、まさにこの「インターロック解除」から始まりました。死者1名、負傷者25名。運転員は悪意どころか、「早く冷やして安定させたい」という責任感から操作しています。
この記事では、プロセス安全インターロックの設計手順と健全性の要件を整理したうえで、最も事故に直結する「解除（バイパス）をどう管理するか」に踏み込みます。
この記事の結論
- インターロックには誤操作防止用とプロセス安全用の2種類がある
- プロセス安全インターロックはプロセス制御系から物理的・機能的に分離・独立させるのが大原則
- センサーを冗長化しても、共通要因故障（CCF）があると期待したほど信頼度は上がらない
- 解除（バイパス）は変更管理（MOC）の対象。「一時的だから」は理由にならない
- 解除するなら、解除してよい条件・代償措置・期限・復旧確認を必ずセットにする
1. インターロックとは何か
JISの定義を見ると、分野は違えど共通する考え方が浮かび上がります。
| 規格 | 定義 |
| JIS B 0130（火力発電用語・一般、1989） | 機器の誤動作防止または安全のため、関連装置間に電気的または機械的に連絡をもたせたシステム |
| JIS B 0142（油圧および空気圧用語、1994） | 危険や異常動作を防止するため、ある動作に対して異常を生じる他の動作が起こらないように制御回路上防止する手段 |
整理すると、インターロックとは「安全を確保するために必要な条件が満たされていなければ、機器が動作しないようにするシステム」です。オートマチック車でブレーキを踏まないとエンジンがかからないのも、立派なインターロックです。
2つの種類
| 誤操作防止のインターロック | プロセス安全インターロック | |
| 目的 | 人の操作ミス・機器の誤動作を防ぐ | プロセス異常が事故に進展するのを防ぐ |
| 作動タイミング | 起動時・操作時 | 緊急事態発生時 |
| 思想 | フールプルーフ（間違っても安全に） | 能動的安全（作動させて事故を防ぐ） |
| 例 | 潤滑油圧が定格に達しないとコンプレッサが起動しない | 反応器温度異常高で原料遮断・緊急脱圧 |
誤操作防止インターロックの例：ボイラの点火シーケンス
ボイラの火炉内爆発は、事故として数多く発生してきました。運転停止中に燃料ガスが炉内に漏洩して爆発性混合気が形成された状態で、バーナーに点火してしまうケースです。
基本対策は、燃料供給配管に漏れの少ない隔離弁を二重に設置して炉内への燃料漏れをなくすこと、そして点火前に炉内を空気で十分パージすることです。この確実な実行を計装システムとして組み込んだのが、点火インターロックです。
- バーナー・パイロットガス元弁の閉確認
- 個々のバーナー・パイロットガス元弁の閉確認
- バーナーレジスター開確認
- 通風ファン起動確認
- 25%通風量確認
- 一定時間待機後、パイロットバーナーに点火
- パイロットバーナー点火確認
- メインバーナー燃料弁が開作動して点火
要点は「パージしたことを確認しないと燃料弁が開かない」「パイロットに点火したことを確認しないとメインバーナー弁が開かない」という順序の強制です。急いでいる人間の「たぶん大丈夫」を、システムが受け付けません。
2. 代表的なプロセス安全インターロック
どこにどんなインターロックを設けるべきかを具体的に示した基準や指針はありません。設計者の経験や類似プラントの構成を参考に設計されるのが実情です。まずは代表例を押さえておきましょう。
| 設備 | 検知する異常 | 想定される危険事象 | インターロック動作 |
| 発熱反応器 | 温度異常高 | 反応暴走 | 原料系遮断／緊急脱圧／反応抑制剤・冷却剤注入 |
| 気相酸化反応器 | 組成変化 | 爆発危険 | 原料系遮断／不活性ガス注入 |
| 液を保有する高圧容器 | 液レベル異常低下 | 高圧ガスの低圧系への吹き抜け／空引きによるポンプ損傷 | 底部配管の緊急遮断／容器底部ポンプ停止 |
| ボイラ | 燃焼用空気流量異常低下／燃料系圧力異常低下／通風ファン停止／バーナー火炎喪失／火炉圧力異常上昇 | 不安定燃焼による爆発危険 | ボイラ停止（燃料カット） |
| ボイラ | スチームドラム液レベル異常低下 | ボイラ空焚き | ボイラ停止（燃料カット） |
| コンプレッサ | 吐出圧力異常上昇／入口圧力異常上昇／吐出温度異常上昇／入口温度異常上昇 | システム圧力異常上昇による機器破損 | コンプレッサ停止 |
| コンプレッサ | 本体振動／潤滑油圧力低低／ベアリング変位／ベアリング温度高高／オーバースピード | コンプレッサ損傷 | コンプレッサ停止 |
| ポンプ | 本体振動／潤滑油圧力低低 | ポンプ損傷 | ポンプ停止 |
3. インターロックの設計手順
新設プラントの設計や既設の大規模改造では、次の手順で必要性と構成を決めます。
Step1 危険事象とその発生原因の特定
構成機器・プロセス制御系の故障、冷却水・スチーム・計装用空気などのユーティリティ故障を想定し、それが危険事象につながるかを検討します。つながる場合は、危険事象発生までの時間、重大度、起こりやすさを整理します。
ここでHAZOPやWhat-if分析の結果が入力になります。
Step2 運転対応で対処できるかの検討
重大度がそれほど高くなく、時間的にも操作の複雑さの面でも運転員が対処できると判断されれば、インターロックは特に必要ありません。ここを飛ばして何でもインターロック化すると、システムが複雑になり、誤作動と解除の温床になります。
Step3 インターロックの必要性検討
先に、機械的・物理的な安全対策で守れないかを確認します。過圧危険なら安全弁は設置されているか、耐圧設計になっているか。温度危険なら想定される最高・最低温度で設計されているか。これらが十分でない場合に、初めてインターロックが必要になります。
この順番は本質安全設計の考え方そのものです。受動的安全（強度・材質で守る）で解決できるなら、動くもののないぶん信頼度が高くなります。
Step4 危険事態を回避する基本方式の決定
2つの方向があります。
| 方式 | 例（発熱反応器の冷却水ポンプ故障） |
| 危険事象の発生原因に対策する | 予備の冷却水ポンプを設置し、主ポンプ停止を検知して予備ポンプを自動起動する |
| 危険事象の進展を阻止する | 反応器温度の異常上昇を検知して、反応抑止剤・冷却剤を注入する、または緊急脱圧する |
どちらを採るか、あるいは両方を組み合わせるかは、危険事象の特性と重大度で決めます。
Step5 基本構成の検討
インターロックはセンサー → ロジックソルバー → 最終制御エレメント（バルブ等）で構成されます。ここで決めることは3つです。
- どのパラメータを検知するか（圧力・温度・流量・液レベル・組成）
- 作動設定値をいくつにするか
- 冗長化が必要か
設定値の決め方には、はっきりしたトレードオフがあります。
| 設定値が正常運転範囲に近すぎる | 運転変動で誤作動する。誤作動が続くと「またか」となり、解除の口実になる |
| 設定値が遠すぎる | 異常の進展が速い場合、アクションが間に合わない |
誤作動を嫌って設定値を緩めるのは、実質的にインターロックを弱めることです。設定値は「Step1で整理した危険事象発生までの時間」から逆算するのが筋です。
Step6 システム設計
以上をもとに具体設計に落とします。この段階で問われるのが、次章の「健全性」です。
4. 健全設計の大原則 ― プロセス制御系から独立させる
プロセス安全インターロックは、通常運転には関与しない待機系のシステムです。だからこそ、いざというときに確実に動く必要があります。そのために守るべき原則が「分離・独立」です。
- プロセス制御系で発生した故障を、インターロック系に波及させない
- プロセス制御系での設定値の変更を、インターロック系の機能喪失につなげない
- プロセス制御系とは独立に、テストおよび保全が行えるようにする
- プロセス制御系とインターロック系の共通要因故障を最小限に抑える
具体的には、ハードとソフトの両面で分離します。
- センサー・I/Oコンポーネント・最終エレメントを、プロセス制御系から分離する
- ロジック機能を実行するハードウェアを分離する
- システムソフトウェア、応用プログラムを分離する
「DCSの空きポイントでインターロックを組む」という発想は、この原則に真っ向から反します。
冗長化しても信頼度が上がらない理由 ― 共通要因故障（CCF）
共通要因故障（CCF：Common Cause Failure）とは、単一の要因によって複数の機器が同時に故障し、システム機能に影響を与える故障のことです。
電力・計装用空気・冷却水といったユーティリティが故障すれば、プラント内の多くの機器が同時に機能を失います。それだけではありません。
| 発生要因 | 具体例 |
| 使用環境 | ゴミ、温度、湿度、腐食、振動。同一メーカーの同じ機種は、同じ環境で同じ壊れ方をする |
| 設計欠陥 | 干渉、相互依存性、同一設計者による複数システムの設計ミス |
| 運用 | 不完全な検査、不適切な監視 |
| 外乱 | 落雷、台風、地震、停電 |
ここが重要です。「センサーを2重化したから信頼度は2乗で良くなる」とは限りません。同一メーカー・同一機種のセンサーを同じ場所に並べて付ければ、同じ環境要因で同時に壊れます。
CCFを減らす対策は、設計管理、機器や機能の分散、多様化（異なる計測原理・異なるメーカーのコンポーネントを使う）、そして運用管理です。
SILとPFD
インターロック（安全計装システム）の健全性を規定する国際規格がIEC 61508（一般産業、国内ではJIS C 0508として採用）とIEC 61511（プロセス産業向け）です。
これらは安全度水準（SIL：Safety Integrity Level）という概念を導入し、重要度に応じて達成すべき目標信頼度を示しています。信頼度は不作動確率（PFD：Probability of Failure on Demand）＝「インターロックの作動要求があったとき、故障により作動しない確率」で評価されます。
| SIL | PFDavg（低頻度作動要求モード） | リスク低減率 |
| SIL 1 | 10⁻²以上 10⁻¹未満 | 10〜100倍 |
| SIL 2 | 10⁻³以上 10⁻²未満 | 100〜1,000倍 |
| SIL 3 | 10⁻⁴以上 10⁻³未満 | 1,000〜10,000倍 |
| SIL 4 | 10⁻⁵以上 10⁻⁴未満 | 10,000〜100,000倍 |
IECはSILを1〜4の4段階、米国ISAの規格（ISA-S84.01）は1〜3の3段階に分類しています。SIL 4はプロセス産業で採用されることはほとんどありません。そこまで必要なら、本質安全設計で危険そのものを下げるべきという判断になります。
5. 最大の急所 ― 解除（バイパス）の管理
ここまでどれだけ丁寧に設計しても、解除されれば防護層はゼロです。そしてインターロックは、現実に解除されます。
三井化学岩国大竹工場の事故（2012年）が教えること
2012年4月22日、レゾルシン製造施設の酸化反応器が破裂・爆発しました。死者1名、負傷者25名、近隣住宅999軒に被害。プラントの半分以上が崩壊しました。
経緯はこうです。
- 工場のスチーム供給トラブルで、プラントが緊急停止。インターロックは正常に作動し、空気供給停止・窒素供給開始（液循環・撹拌の維持）・冷却水を緊急用冷却水へ切替、という安全状態へ移行した
- 約1時間後、運転員が「冷却速度が遅い。通常の循環冷却水に戻したほうが早く冷える」と判断し、インターロックを解除して冷却水を切り替えた
- ところがこの解除により、撹拌用の窒素も連動して停止してしまった。運転員はそれに気づかなかった
- 撹拌が止まった反応器では、冷却コイルのある下部は冷え、コイルのない液面付近だけが有機過酸化物の分解熱で温度上昇。運転員が見ていた温度計は下部のものだったため、異常に気づけなかった
- 反応器内圧は設計圧力0.8MPaGをはるかに超える8MPa以上に達し、破裂した
この事故の恐ろしさは、個々の要素がどれも「よくある話」だという点にあります。
| 問題 | あなたの職場は大丈夫か |
| 解除操作をすると、安全維持に不可欠な窒素撹拌まで止まる回路になっていた | 解除したとき何が連動して止まるかを、運転員は知っているか |
| インターロック作動用の温度計が反応器下部にしかなく、上部の温度上昇を検知できなかった | センサーは本当に危険な場所を見ているか |
| 撹拌用ガス停止のアラームがなく、DCS画面に流量表示すらなかった | 安全機能の喪失を知らせる手段はあるか |
| インターロックを解除してよい「安定状態」の具体的基準が、マニュアルになかった | 解除条件は数値で定義されているか |
解除を管理する7つのルール
インターロックの解除は、防護層を意図的に外す行為です。したがって変更管理（MOC）の対象であり、規模の大小にかかわらずLOPA相当の検討を要します。
- 解除してよい条件を、数値で定義する。「安定したら」ではなく「反応器温度が○℃以下、かつ○分間安定していること」と書く
- 解除で何が連動するかを、事前に洗い出す。設計者しか知らない連動を、運転員が知らないまま解除するのが最悪のパターン
- 代償措置（compensating measure）をセットにする。解除中は現場で常時監視、別の計器で代替監視、原料供給停止など、防護層の穴を埋める手段を必ず用意する
- 期限を日付・時刻で決める。「立ち上げ完了まで」ではなく、時刻を書く
- 承認者を、発議者と独立させる。「早く冷やしたい」当事者だけで判断させない
- 解除中であることを可視化する。DCS画面での常時表示、現場のバイパスタグ、そしてシフト引継ぎ帳票への記載。今いくつのインターロックが解除中かを即答できる状態にする
- 復旧を確認してクローズする。戻したことを記録に残すまでが解除作業
6. 現場でやりがちな失敗
失敗1：誤作動が多いインターロックを、設定値を緩めて「解決」する
誤作動の原因はたいてい、センサーの設置場所・脈動・応答遅れ・設定値の妥当性のいずれかにあります。設定値を緩めるのは、原因を直さずに防護層を薄くする行為です。誤作動が続けば運転員の信頼を失い、やがて「どうせ誤報だ」という空気が生まれます。
失敗2：何でもインターロックにする
Step2で述べたとおり、運転対応で十分な事象にまでインターロックを付けると、システムが複雑になり、誤作動が増え、解除が常態化します。インターロックの数は、多いほど安全とは限りません。
失敗3：定期的な作動試験をしていない
待機系である以上、試験しなければ壊れていることに気づけません。PFDは「プルーフテスト間隔」を前提に計算されています。試験間隔を延ばせば、その分だけ実際のPFDは悪化します。試験間隔の延長は、それ自体が変更管理の対象です。
失敗4：解除の履歴が残っていない
年間で何回、どのインターロックが、どんな理由で解除されたか。この記録がないと、「そもそも設計が悪い」インターロックを特定できません。解除の多いインターロックこそ、設計を見直すべき対象です。
失敗5：フェイルセーフの向きを一律に決めている
「故障したら停止」が常に安全とは限りません。回転機械は機器保護の観点では停止が安全ですが、重要な冷却水ポンプや消火用水ポンプでは、ポンプ自体が損傷してもプラントの安全を確保するために運転を継続させたほうが良い場合があります。機器保護ではなく、システムとしての安全から向きを決めてください。
まとめ
- インターロックには誤操作防止用とプロセス安全用がある
- 設計手順は、危険事象の特定 → 運転対応の可否 → 機械的対策の可否 → 方式決定 → 基本構成 → システム設計
- 健全性の大原則はプロセス制御系からの分離・独立。冗長化しても共通要因故障があれば効果は限定的
- 解除は防護層を外す行為。数値化した解除条件・連動の把握・代償措置・期限・独立承認・可視化・復旧確認をセットにする
- 誤作動を設定値の緩和で「解決」しない。解除の多いインターロックは、設計を見直すサイン
三井化学岩国大竹の運転員は、責任感から動きました。だからこそこの事故は、個人の資質の問題として片づけてはいけません。解除しても事故にならない仕組みを、設計と運用でつくる。それがインターロック管理の目的です。
参考文献
- 安全工学会 監修『実践・安全工学シリーズ2「プロセス安全の基礎」』化学工業日報社、2012年、第3章8節「インターロックシステム設計」pp.100-112、7節「フェイルセーフ設計」pp.95-99
- 同書 第5章「プロセスに関する機能安全国際規格」pp.227-262、第7章「SILスタディ」
- IEC 61508（JIS C 0508）／IEC 61511／ISA-S84.01
- JIS B 0130（火力発電用語・一般）、JIS B 0142（油圧および空気圧用語）
- 三井化学株式会社 岩国大竹工場 レゾルシン製造施設 事故調査報告書
