化学プラント大全 
※本記事の参考文献には、Amazonアソシエイトのリンク（アフィリエイト広告）を含みます。
「このインターロック、SILいくつにしますか」
この問いに「とりあえずSIL2で」と答えているなら、順番が逆になっています。
SILは選ぶものではなく、計算で出てくるものです。そして出たあとに、本当にその性能が出ているかを検証する作業が待っています。
この記事の要点
- SILは「目標頻度に対して、あと何倍下げる必要があるか」から決まる
- 決定手法はLOPA法・リスクグラフ法・リスクマトリクス法。透明性はLOPA法が高い
- 決めて終わりではない。SIL検証が要る
- 検証はPFDavg・アーキテクチャ制約・系統的安全度の3点セット
- プルーフテスト間隔を延ばすと、SILは下がる
SILそのものの定義（SIL1〜4とPFDavgの範囲）、SISとDCSの違い、バイパスやスプリアストリップの実務は、下の記事で扱っています。本記事は「SILをどう決め、どう検証するか」に絞ります。
1. SILは、不足分から決まる
考え方は、引き算です。
- いま、どれくらいの頻度で起きるのか（起因事象 × 既存の防護層）
- どこまで下げたいのか（許容リスク基準＝ターゲット頻度）
- その差が、安全計装に求める性能
実際にやってみます。
| 項目 | 値 |
| 起因事象（制御系の異常） | 0.1 回/年 |
| 既存の防護層：安全弁 | PFD 1×10⁻² |
| 現状の発生頻度 | 1×10⁻³ 回/年 |
| ターゲット頻度（許容リスク基準） | 1×10⁻⁵ 回/年 |
| 必要なリスク低減係数（RRF） | 100倍 |
| 安全計装に必要なPFD | 1×10⁻² → SIL2 |
ここで大事なのは、SILが「影響の大きさ」だけでは決まらないということです。
同じ「死亡に至りうるシナリオ」でも、起因事象の頻度が10分の1なら、必要なSILは1つ下がります。逆に、既存の防護層を数え忘れると、必要以上に高いSILが出ます。
2. 決定手法は3つ
| 手法 | やり方 | 特徴 |
| LOPA法 | 頻度とPFDを掛け、不足分からRRFを出す | 根拠が数字で残る。おすすめ |
| リスクグラフ法 | 影響・滞在時間・回避可能性・発生頻度の4パラメータを枝でたどる | 早い。パラメータの定義がぶれやすい |
| リスクマトリクス法 | 影響と頻度のマス目に、SILを割り当てておく | 最も簡便。丸めが大きい |
どれを使ってもかまいませんが、社内でどれを標準にするかを決めておくことが大切です。決めていないと、案件ごとに手法が変わり、結果が比較できなくなります。
リスクグラフ法は速いのですが、「滞在時間」「回避可能性」の定義があいまいだと、同じシナリオで結果が1〜2段階変わります。使うなら、パラメータの判定基準を先に文書化してください。
3. SIL決定で、よくある間違い
| 間違い | 何が起きるか |
| とりあえず全部SIL3 | コストと運用負荷が跳ね上がり、結局バイパスされる |
| 影響だけでSILを決める | 頻度を見ていないので、過剰にも過少にもなる |
| 既存の防護層を数え忘れる | 必要SILが実際より高く出る |
| 独立でないものを防護層に数える | 必要SILが実際より低く出る（こちらが危険） |
| SILを上げてIPL不足を埋める | 1つの防護層に依存する構造になる |
| 決定の根拠を残さない | 変更時に、なぜその値なのか誰も分からない |
1行目は、安全側に倒したつもりが逆になる典型です。
高いSILは、冗長構成・診断・頻繁なプルーフテストを要求します。運用が重くなれば、現場は必ずどこかで手を抜きます。紙の上のSIL3より、確実に維持されるSIL1のほうが、実際には安全なことがあります。
4行目も繰り返し起きます。制御系と同じ計器を使ったインターロックを、独立防護層として数えてはいけません。FTAで言えば、ANDゲートの下に共通原因が入っている状態です。
4. SIL検証 ― 決めたあとの仕事
「SIL2が必要」と決まったら、その安全計装機能が本当にSIL2を満たすかを確認します。これがSIL検証です。
確認するのは3つで、すべてを満たして初めてそのSILと言えます。
| 検証項目 | 中身 |
| ① PFDavg | センサ＋ロジック＋最終要素を合計し、目標範囲に入るか |
| ② アーキテクチャ制約 | 計算値が良くても、冗長度が足りなければ認められない |
| ③ 系統的安全度 | 設計・製造プロセスの妥当性。認証品か、実績（Prior Use）か |
②が見落とされがちです。「計算したらPFDavgが小さかったからSIL3」とはなりません。故障の何割を診断で検出できるか、何重にしているかによって、達成できる上限が決まります。
PFDavgは、テスト間隔で決まる
単純な構成では、PFDavg ≒ 危険側・検知できない故障率 × テスト間隔 ÷ 2 という形になります。
この式が示していることは、はっきりしています。テスト間隔に比例するということです。
| プルーフテスト間隔 | PFDavg |
| 6か月 | 5×10⁻⁴ |
| 1年 | 1×10⁻³ |
| 2年 | 2×10⁻³ |
| 3年 | 3×10⁻³ |
（危険側・検知できない故障率を 2×10⁻³/年 とした場合）
テスト間隔を1年から3年に延ばせば、PFDavgは3倍になります。定修周期を延ばすとき、ここが一緒に検討されているでしょうか。
SIL検証は「設計時に1回やって終わり」ではありません。テスト間隔を変えたら、再計算が要ります。これは変更管理の対象です。設備は何も変わっていないのに、性能だけが落ちる――見つけにくい劣化の仕方です。
5. 認証品か、実績（Prior Use）か
③の系統的安全度を満たす道は、2つあります。
| 認証品を使う | 実績で示す（Prior Use） | |
| 根拠 | 第三者認証、安全マニュアル | 自社での使用実績データ |
| 手間 | 小（買えばよい） | 大（記録が要る） |
| コスト | 高い | 機器は安い |
| 条件 | ― | 同一仕様・同一環境で、十分な期間と台数 |
Prior Useは魅力的に見えますが、「十分な実績」を示すには、故障の記録が要ります。いつ、どの機器が、どう壊れたか。それが残っていない工場では、そもそも選べません。
そして重要なのは、認証品を買っただけでは機能安全にならないという点です。認証が保証しているのは機器の作り方であって、設置・設定・テスト・変更の運用は、こちら側の責任です。
6. SILは、運用で下がっていく
| 運用での出来事 | SILへの影響 |
| プルーフテストの未実施・先送り | PFDavgが直接悪化する |
| テスト間隔の延長 | 比例して悪化する |
| テストが部分的（全経路を通さない） | 検出できない故障が残る |
| 長期バイパス | その間、防護層は存在しない |
| 設定値の変更 | 要求が発生する条件が変わる |
| 機器の型式変更 | 故障率データが変わる。再検証が要る |
3行目は、意外と気づかれません。センサだけ、あるいは弁だけをテストしても、経路全体の検証にはなりません。ロジック、配線、最終要素まで通して初めて「その機能が働く」ことを確認できます。
そして――これらはすべて、書類上のSILには現れません。設計書には「SIL2」と書いてあり続けます。
7. 自分の職場で確かめる7つのこと
- SIL決定の手法（LOPA法／リスクグラフ法など）は、社内で統一されていますか。
- 各SIFについて、なぜそのSILなのかの計算根拠が残っていますか。
- 数えている防護層は、本当に独立していますか。
- SIL検証は、PFDavgだけでなくアーキテクチャ制約も見ていますか。
- プルーフテスト間隔は、検証時の前提と一致していますか。
- テストは、センサから最終要素まで通していますか。
- いま長期バイパス中のSIFは、何件ありますか。
まとめ
- SILは「現状頻度 ÷ 目標頻度」＝必要RRFから決まる
- 影響だけでは決まらない。頻度と既存防護層を見る
- 全部SIL3は、安全側ではない。運用が破綻する
- 検証はPFDavg・アーキテクチャ制約・系統的安全度の3点
- テスト間隔を延ばせば、SILは下がる。これは変更管理の対象
ここまで見てきた「決める → 検証する → 運用で維持する」という流れ。これを規格として体系化したものが機能安全（IEC 61508／61511）の安全ライフサイクルです。次で扱います。
関連記事
プロセス安全の全体地図
この記事は「プロセス安全・防災」カテゴリの1本です。約100本を6つの領域に整理した地図と、立場・目的別の読む順は、こちらにまとめています。
参考文献
- 安全工学会 監修、新井充・佐藤吉信・高木伸夫・野口和彦・若倉正英 編『実践・安全工学シリーズ2「プロセス安全の基礎」』化学工業日報社、2012年
Amazonで見る - IEC 61511（JIS C 0511）「機能安全－プロセス産業分野の安全計装システム」／IEC 61508（JIS C 0508）「電気・電子・プログラマブル電子安全関連系の機能安全」
- JIS C 0508-5:2019「機能安全－第5部：安全度水準決定方法の事例」 リスクグラフ法等のSIL決定手法
- JIS C 0511-3:2021「機能安全－プロセス産業分野の安全計装システム－第3部：要求安全度水準の決定のための指針」
- 高圧ガス保安協会「リスクアセスメント・ガイドライン Ver.2」（2016年、PDF） SILごとの作動要求時失敗確率
※本記事中の故障率・PFD・頻度の数値は、考え方を説明するための仮の値です。実際のSIL決定・検証にあたっては、規格の要求事項と、機器メーカーの安全マニュアルに記載された数値をご確認ください。
