(57)【要約】【課題】危険性シナリオ中の、相互に依存性を持ち同時発生的な要素を含む事象を特定し、災害事象に対する正確な発生確率の計算を支援する技術を提供する。【解決手段】ＦＴ計算支援プログラムは、コンピュータに、少なくとも発生事象に対応して運転操作が行われる構成要素の名称及び属性を、シナリオから抽出するステップと、抽出された名称及び属性に基づいてシナリオに含まれる発生事象に対応して運転操作が行われる全ての構成要素を検索するステップと、検索の結果、抽出された名称及び属性と同一の名称及び属性の構成要素が存在する場合には、同一の名称及び属性の構成要素を共通要因事象と特定するステップと、特定された共通要因事象に基づいて、プロセスの災害事象に至るシナリオの安全評価の指数を計算するステップと、計算されたプロセスの災害事象に至るシナリオの安全評価の指数を出力するステップと、を実行させる。【選択図】図８Ｂ
2014059639.tif 000002
【特許請求の範囲】
【請求項１】
対象とするプロセス中の設備機器について発生し得る異常事象を起因とし、前記異常事象から後続して生起し得る発生事象の連鎖の帰結として発生する前記プロセスの災害事象へ至るシナリオに基づいて前記プロセスの安全評価計算を行うＦＴ計算支援プログラムであって、
コンピュータに、
少なくとも発生事象に対応して運転操作が行われる構成要素の名称及び属性を、前記シナリオから抽出するステップと、
前記抽出された名称及び属性に基づいて前記シナリオに含まれる発生事象に対応して運転操作が行われる全ての構成要素を検索するステップと、
前記検索の結果、前記抽出された名称及び属性と同一の名称及び属性の構成要素が存在する場合には、前記同一の名称及び属性の構成要素を共通要因事象と特定するステップと、
前記特定された共通要因事象に基づいて、前記プロセスの災害事象に至るシナリオの安全評価の指数を計算するステップと、
前記計算された前記プロセスの災害事象に至るシナリオの安全評価の指数を出力するステップと、
を実行させるＦＴ計算支援プログラム。
【請求項２】
前記シナリオで、発生事象に対応して運転操作が行われる構成要素として安全対策が設定されている場合には、前記特定された共通要因事象に基づいて、前記設定された安全対策の適否を判定するステップ、
をさらに実行させる請求項１に記載のＦＴ計算支援プログラム。
【請求項３】
前記シナリオに含まれる発生事象を時系列順に整理し、発生事象と後続して発生し得る発生事象との経路間に防護機能を挿入するステップ、
をさらに実行させる請求項１または２に記載のＦＴ計算支援プログラム。
【請求項４】
対象とするプロセス中の設備機器について発生し得る異常事象を起因とし、前記異常事象から後続して生起し得る発生事象の連鎖の帰結として発生する前記プロセスの災害事象へ至るシナリオに基づいて前記プロセスの安全評価計算を行うＦＴ計算支援方法であって、
コンピュータが、
少なくとも発生事象に対応して運転操作が行われる構成要素の名称及び属性を、前記シナリオから抽出する手順と、
前記抽出された名称及び属性に基づいて前記シナリオに含まれる発生事象に対応して運転操作が行われる全ての構成要素を検索する手順と、
前記検索の結果、前記抽出された名称及び属性と同一の名称及び属性の構成要素が存在する場合には、前記同一の名称及び属性の構成要素を共通要因事象と特定する手順と、
前記特定された共通要因事象に基づいて、前記プロセスの災害事象に至るシナリオの安全評価の指数を計算する手順と、
前記計算された前記プロセスの災害事象に至るシナリオの安全評価の指数を出力する手順と、
を実行するＦＴ計算支援方法。
【請求項５】
対象とするプロセス中の設備機器について発生し得る異常事象を起因とし、前記異常事象から後続して生起し得る発生事象の連鎖の帰結として発生する前記プロセスの災害事象へ至るシナリオに基づいて前記プロセスの安全評価計算を行うＦＴ計算支援装置であって、
少なくとも発生事象に対応して運転操作が行われる構成要素の名称及び属性を、前記シナリオから抽出する手段と、
前記抽出された名称及び属性に基づいて前記シナリオに含まれる発生事象に対応して運転操作が行われる全ての構成要素を検索する手段と、
前記検索の結果、前記抽出された名称及び属性と同一の名称及び属性の構成要素が存在する場合には、前記同一の名称及び属性の構成要素を共通要因事象と特定する手段と、
前記特定された共通要因事象に基づいて、前記プロセスの災害事象に至るシナリオの安全評価の指数を計算する手段と、
前記計算された前記プロセスの災害事象に至るシナリオの安全評価の指数を出力する手段と、
を備えるＦＴ計算支援装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＦＴ計算支援プログラム、ＦＴ計算支援方法及びＦＴ計算支援装置の技術に関する。
【背景技術】
【０００２】
化学プラントといったプロセスシステムの構築や運用等においては、該プロセスシステムを構成する各プロセスの潜在的な危険性を特定し、特定された各プロセスの危険性を定性的、定量的に評価することが重要である。そして、プロセスシステムの安全性を確保するためには、評価結果に基づいて上述の潜在的な危険性を低減するためのリスク管理を実施することが不可欠である。
【０００３】
プロセスの潜在的な危険性を定性的に評価する手法として、ＨＡＺＯＰ（Hazard & Operability study）が知られている。同様に、プロセスの潜在的な危険性を定量的に評価する手法として、ＦＴＡ（Fault Tree Analysis：フォールト・ツリー解析）が知られてい
る。なお、リスクアセスメントの考え方としてＨＡＺＯＰ，ＦＴＡ以外に、Ｗｈａｔ−ｉｆ解析法，ＦＭＥＡ（Failure Mode and Effect Analysis：故障モード影響解析）法等の評価方法があり、厚生労働省の「化学プラントにかかるセーフティ・アセスメントに関する指針」に例示されている。
【０００４】
ＨＡＺＯＰは、各プロセスの定常状態にある状態量（温度・圧力・流量・組成等）からの「ずれ」を起点に、「ずれ」に関するガイドワード（無し、増加、減少、逆転等）から、その原因と結果を明らかにして行く手法である。例えば、「流量増加」といったプロセスの「ずれ」を想定することにより、「流量増加」の原因となる機器故障やヒューマンエラー等を明らかにする。そして、このような機器故障やヒューマンエラー等を原因とした「流量増加」が発生した結果、プロセスシステムへの影響の度合いを検討する。ＨＡＺＯＰによる定性的な評価方法では、プロセスシステムを構成する各プロセスの潜在的な危険性を網羅的に洗い出せると言う利点がある。
【０００５】
ＦＴＡは、商業用原子炉の定量的リスク解析で確立された確率論的リスク評価手法であり、原子力分野に限らず化学産業、電子・電気産業、機械産業等の様々な分野で使用されている評価手法である。ＦＴＡは、例えば、プロセスシステムにとって望ましくない事象（起こり得る特定の危険事象、災害事象）を頂上事象とし、その原因、要因を演繹的に掘り下げて行き、根本的な原因、要因（基本事象）を特定する。基本事象は頂上事象に至る発生経路においてそれ以上分解できない事象である。ＦＴＡでは、これらの因果関係を、論理記号（ＡＮＤゲート、ＯＲゲート等）を用いて論理的に連結し、ツリー状に表現する。この基本事象から頂上事象からに至る、ツリー状に展開された因果関係の構造をフォールト・ツリー（ＦＴ：Fault Tree、欠陥の木または故障の木，以下、ＦＴと称す）と言う。
【０００６】
ＦＴでは、頂上事象に至る複数の事象の因果関係（基本事象、基本事象を起因として派生した事象等）が論理記号で結ばれているので、基本事象の発生頻度や発生確率を与えることにより、頂上事象であるプロセスシステムにとって望ましくない事象の発生頻度を帰納的に求めることができる。ＦＴＡによる定量的な評価方法では、ＦＴに基づき、プロセスシステムにとって望ましくない事象について、発生頻度、発生確率といった具体的な数値指標による評価が可能であると言う利点がある。
【０００７】
上述のＨＡＺＯＰ、ＦＴＡによる評価方法を一元化し、災害事象（プロセスシステムに
とって望ましくない、最終的に発生する事象）へ至る危険性シナリオをフローチャートの表現で作成し、作成したフローチャートをＦＴに自動変換し、変換されたＦＴに基づいてプロセスシステムの危険性を定量的に評価する技術が特許文献１に開示されている。
【０００８】
特許文献１に開示の技術では、危険性シナリオは、プロセスシステム中の各プロセスを構成する設備機器の故障を基本事象として、該故障から後続して生起し得る発生事象を因果連鎖関係で展開する。そして、最終的に発生する災害事象（頂上事象）へ至るように構成し、各プロセスの潜在的な危険性を網羅する。また、作成したフローチャートからＦＴを自動的に変換し、ＦＴに沿って災害事象の発生頻度、発生確率を計算するよう構成し、該頂上事象の発生頻度、発生確率を小さく（抑圧）するように危険性シナリオの見直しを行う、といったＨＡＺＯＰ／ＦＴＡ間の情報の相互参照・利用を可能としている。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特許第３６２２３０２号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
危険性シナリオから変換されたＦＴに基づいて、頂上事象である最終的に発生する災害事象の発生確率等を求める場合、相互に依存性を持ち同時発生的な要素を含む事象（共通要因事象）の存在が問題となる。つまり、ＦＴに基づいて頂上事象の発生確率を計算する際に、共通要因事象が複数に存在すると、それぞれの共通要因事象の発生確率を重複して計算してしまうため、算出された頂上事象の発生確率は正確性に欠くものとなってしまう。
【００１１】
特許文献１の危険性シナリオでは、プロセスシステム中の各プロセスを構成している設備機器の故障を基本事象として、該故障から後続して生起し得る発生事象を因果連鎖関係で展開し、最終的に発生する災害事象へ至るように構成する。因果連鎖関係で展開される発生事象が少ないケースでは、例えば、プロセスシステムの安全評価を検討する操作者等が共通要因事象を把握しながら危険性シナリオの構築を行い、災害事象の発生確率等の計算を行うことが可能である。しかしながら、因果連鎖関係で展開される発生事象が多岐、多段階に亘り、複数に存在するケースが一般的であり、操作者等が共通要因事象を逐一に把握しながら危険性シナリオを構築するのは困難である。
【００１２】
開示の技術の課題は、危険性シナリオ中の、相互に依存性を持ち同時発生的な要素を含む事象を特定し、災害事象に対する正確な発生確率の計算を支援する技術を提供することにある。
【課題を解決するための手段】
【００１３】
開示の技術の一側面は、次のＦＴ計算支援プログラムの構成によって例示される。すなわち、ＦＴ計算支援プログラムは、対象とするプロセス中の設備機器について発生し得る異常事象を起因とし、異常事象から後続して生起し得る発生事象の連鎖の帰結として発生するプロセスの災害事象へ至るシナリオに基づいてプロセスの安全評価計算を行う。ＦＴ計算支援プログラムは、コンピュータに、少なくとも発生事象に対応して運転操作が行われる構成要素の名称及び属性を、シナリオから抽出するステップと、抽出された名称及び属性に基づいてシナリオに含まれる発生事象に対応して運転操作が行われる全ての構成要素を検索するステップと、検索の結果、抽出された名称及び属性と同一の名称及び属性の構成要素が存在する場合には、同一の名称及び属性の構成要素を共通要因事象と特定するステップと、特定された共通要因事象に基づいて、プロセスの災害事象に至るシナリオの安全評価の指数を計算するステップと、計算されたプロセスの災害事象に至るシナリオの
安全評価の指数を出力するステップと、を実行させる。
【００１４】
このような構成によれば、シナリオから、発生事象に対応して運転操作が行われる構成要素の名称及び属性と同一の名称及び属性を有する構成要素を抽出でき、抽出された該構成要素を共通要因事象と特定することができる。そして、特定された共通要因事象に基づいてプロセスの災害事象に至るシナリオの安全評価の指数を計算し、計算されたプロセスの災害事象に至るシナリオの安全評価の指数を出力することができる。この結果、シナリオに共通要因事象が含まれていても、災害事象に対する正確な発生確率の計算が可能となる。
【発明の効果】
【００１５】
本ＦＴ計算支援プログラムによれば、危険性シナリオ中の、相互に依存性を持ち同時発生的な要素を含む事象を特定し、災害事象に対する正確な発生確率の計算を支援する技術を提供できる。
【図面の簡単な説明】
【００１６】
【図１】共通要因事象を説明する図である。
【図２】共通要因事象を説明する図である。
【図３】本実施形態のＦＴ計算支援装置の一例を示す図である。
【図４】情報処理装置のハードウェア構成を例示する図である。
【図５】ＦＴ計算支援処理を説明するためのプロセスシステムの図である。
【図６】ＦＴ計算支援処理のフローチャートを例示する図である。
【図７Ａ】初期入力画面の一例を示す図である。
【図７Ｂ】説明例の災害シナリオに基づいて生成されたHAZchartを例示する図である。
【図７Ｃ】表示画面の一例を示す図である。
【図７Ｄ】表示画面の一例を示す図である。
【図７Ｅ】説明例の災害シナリオに基づいて生成されたHAZchartを例示する図である。
【図７Ｆ】説明例の災害シナリオに基づいて生成されたＦＴを例示する図である。
【図７Ｇ】共通要因事象に基づいて計算された災害事象に至る発生確率の表示画面を例示する図である。
【図７Ｈ】初期登録情報の更新を促す表示画面を例示する図である。
【図７Ｊ】初期登録情報の更新が行われた結果の表示画面を例示する図である。
【図８Ａ】Ｓ１の詳細なフローチャートを例示する図である。
【図８Ｂ】Ｓ４の詳細なフローチャートを例示する図である。
【図８Ｃ】Ｓ５の詳細なフローチャートを例示する図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照して、一実施形態に係るＦＴ計算支援装置について説明する。以下の実施形態の構成は例示であり、ＦＴ計算支援装置は実施形態の構成には限定されない。
【００１８】
以下、図１から図８Ｃの図面に基づいて、ＦＴ計算支援装置を説明する。まず、本実施形態のＦＴ計算支援装置を説明するまえに、共通要因事象（共通要因事象）について図１から図２の図面に基づいて説明する。
【００１９】
＜共通要因事象＞
図１，２は、共通要因事象を説明する説明図である。図１（ａ）は、２台のポンプＡ，Ｂにより、所定の流量を出力するプロセスのフローの例である。図１（ｂ）は、図１（ａ）のフローに基づいて、例えば、「流量が０になる」ことを頂上事象として作成されたフ
ォールト・ツリー（ＦＴ、以下ＦＴと称す）の例である。
【００２０】
図１（ｂ）では、「流量が０になる」との頂上事象９０１がＦＴの最上位に位置し、頂上事象９０１を発生させる原因・要因として、「ポンプＡ停止」との事象９０３、「ポンプＢ停止」との事象９０４が下位事象として展開されている。下位事象の「ポンプＡ停止」及び「ポンプＢ停止」は、同時に発生して「流量が０になる」との頂上事象９０１が生じ得るので、それぞれの下位事象は論理積を示すＡＮＤゲート９０２で連結されている。さらに、事象９０３には、「ポンプＡ停止」を発生させる原因・要因として、「ポンプＡ故障」との事象９０７、「停電」との事象９０８が下位事象として展開されている。下位事象の「ポンプＡ故障」，「停電」は、それぞれの事象の発生が「ポンプＡ停止」との事象を発生させ得るので、各下位事象は論理和を示すＯＲゲート９０５で連結されている。同様に、事象９０４には、「ポンプＢ停止」を発生させる原因・要因として、「ポンプＢ故障」との事象９０９、「停電」との事象９１０が下位事象として展開され、事象９０９と事象９１０は論理和を示すＯＲゲート９０６で連結されている。
【００２１】
なお、図１（ｂ）では、事象９０７〜９１０が「流量が０になる」との頂上事象９０１に至る基本事象である。
【００２２】
ＦＴＡでは、図１（ｂ）に例示するＦＴに基づいて「流量が０になる」との頂上事象９０１の発生確率を計算することにより、プロセスの潜在的な危険性を定量的に評価する。
【００２３】
例えば、「ポンプＡ故障」及び「ポンプＢ故障」の発生確率を１Ｅ−２（「Ｅ」は１０べき乗を表し、「１Ｅ−２」は１０の（−２乗）を表す。）とし、「停電」の発生確率を１Ｅ−３とすると、「ポンプＡ停止」及び「ポンプＢ停止」の発生確率は、それぞれ、１．１Ｅ−２と計算される。さらに、「流量が０になる」との頂上事象９０１の発生確率は、「ポンプＡ停止」及び「ポンプＢ停止」の発生確率から１．２１Ｅ−４と計算される。
【００２４】
このように、ＦＴＡでは、図１（ｂ）に例示するＦＴに基づいて、基本事象の発生確率を与えることにより、「流量が０になる」との頂上事象９０１の発生確率を求めることができる。
【００２５】
しかしながら、各ポンプの電源が同一の箇所から給電されている場合、ポンプＡに停電が発生するとポンプＢにも停電が発生することとなる。つまり、図１（ｂ）に例示するＦＴにおいて、基本事象である「停電」は、相互に依存性を持ち同時発生的な要素を含む事象であり、２台のポンプＡ，Ｂにより、所定の流量を出力するプロセスでは共通要因事象である。このような共通要因事象を考慮して作成したＦＴを図２に例示する。
【００２６】
図２に例示のＦＴでは、「流量が０になる」との頂上事象９０１はＦＴの最上位に位置し、頂上事象９０１を発生させる原因・要因として、「ポンプ停止」との事象９１２、「停電」との共通要因事象９１３が下位事象として展開されている。「ポンプ停止」及び「停電」は、それぞれの事象の発生が「流量が０になる」との事象を発生させ得るので、事象９１２と共通要因事象９１３は論理和を示すＯＲゲート９１１で連結される。そして、事象９１２には、「ポンプ停止」を発生させる原因・要因として、「ポンプＡ故障」との事象９０７、「ポンプＢ故障」との事象９０９が下位事象として展開され、事象９０７と事象９０９は論理積を示すＡＮＤゲート９１４で連結される。事象９０７の「ポンプＡ故障」と事象９０９の「ポンプＢ故障」とは、同時に発生して事象９１２の「ポンプ停止」が生じ得るからである。
【００２７】
なお、図２では、事象９０７、９０９及び９１３が「流量が０になる」との頂上事象９０１に至る基本事象となる。
【００２８】
図１（ｂ）で計算したように、「ポンプＡ故障」及び「ポンプＢ故障」の発生確率を１Ｅ−２とし、「停電」の発生確率を１Ｅ−３として、図２に例示するＦＴに基づいて「流量が０になる」との頂上事象９０１の発生確率を計算する。「ポンプ停止」との事象９１２の発生確率は、１Ｅ−４と計算され、「流量が０になる」との頂上事象９０１の発生確率は、１．１Ｅ−３と計算される。
【００２９】
図１（ｂ）のＦＴに基づいて計算された「流量が０になる」との頂上事象９０１の発生確率は１．２１Ｅ−４であり、図２のＦＴに基づいて計算された頂上事象９０１の発生確率とは、１．１Ｅ−３＞＞１．２１Ｅ−４の関係となる。つまり、図１（ａ）に例示の、２台のポンプＡ，Ｂにより、所定の流量を出力するプロセスでは、共通要因事象を考慮して計算された頂上事象９０１の危険度は、共通要因事象を考慮せずに計算された危険度より高く、危険度の指標である発生確率の相互の差は、一桁（１０倍程度）も異なることが判る。
【００３０】
このように、プロセスシステムの構築や運用等においては、共通要因事象を考慮しない場合、各プロセスの潜在的な危険性を安全（発生確率が小さい）方向に判断を誤る虞がある。従って、プロセスの潜在的な危険性を適正に評価するためには、想定される危険性シナリオに含まれる共通要因事象を特定し、特定した共通要因事象を考慮してＦＴ計算を行う必要がある。
【００３１】
次に説明する、本実施形態のＦＴ計算支援装置では、作成された危険性シナリオから発生事象（基本事象、基本事象を起因として派生した原因事象）に対応して運転操作が行われる構成要素の名称及び属性を抽出する。そして、抽出された名称及び属性に基づいてシナリオに含まれる全ての構成要素を検索し、共通要因事象を特定する。本実施形態のＦＴ計算支援装置は、特定された共通要因事象に基づいてプロセスの災害事象に至る発生確率のＦＴ計算を行うことにより、シナリオに共通要因事象が含まれていても、災害事象の正確な発生確率の計算を可能とする。
【００３２】
＜実施例＞
以下、図３から図４の図面に基づいて、実施例に係るＦＴ計算支援装置１０を説明する。
〔装置構成〕
図３は、本実施形態のＦＴ計算支援装置１０の一例を示す図である。図３に例示するＦＴ計算支援装置１０は、例えば、対象とするプロセス中の設備機器について発生し得る異常事象を起因とし、異常事象から後続して生起し得る発生事象の連鎖の帰結として発生するプロセスの災害事象へ至るシナリオに基づいてプロセスの安全評価計算を行う情報処理装置である。
【００３３】
図３に例示のＦＴ計算支援装置１０は、情報処理装置３００、記憶装置２００を含む。情報処理装置３００は記憶装置２００と接続する。情報処理装置３００は、例えば、ネットワークを介して記憶装置２００に接続するとしてもよい。情報処理装置３００、記憶装置２００は、例えば、インターネット上のコンピュータ群であるクラウドの一部を構成するものであってもよい。ネットワークは、インターネット等の公衆ネットワーク、携帯電話網等の無線ネットワーク、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等の内部ネットワークを含む。また、情報処理装置３００は記憶装置２００を含むと
してもよい。
【００３４】
記憶装置２００は、各種プログラムおよび各種データを格納する記憶媒体を備えた記憶装置である。記憶装置２００は、外部記憶装置とも呼ばれる。記憶装置２００としては、
例えば、ソリッドステートドライブ装置、ハードディスクドライブ装置等がある。また、記憶装置２００は、ＣＤ（Compact Disc）ドライブ装置、ＤＶＤ（Digital Versatile Disk）ドライブ装置、ＢＤ（Blu-ray Disc）ドライブ装置等の可搬記録媒体を含むことができる。
【００３５】
記憶装置２００は、危険性シナリオ生成ＤＢ２１０、ＦＴ生成ＤＢ２２０、故障確率ＤＢ２３０、ヒューマンエラーＤＢ２４０、安全評価管理ＤＢ２５０を含む。危険性シナリオ生成ＤＢ２１０、ＦＴ生成ＤＢ２２０、故障確率ＤＢ２３０、ヒューマンエラーＤＢ２４０、安全評価管理ＤＢ２５０は、それぞれ、別々の記憶装置に含まれるとしてもよい。
【００３６】
情報処理装置３００は、パーソナルコンピュータ（ＰＣ、Personal Computer）、タブ
レットＰＣ、ＰＤＡ（Personal Digital Assistant）のような汎用のコンピュータ、サーバマシン等の専用のコンピュータ、あるいは、スマートフォン（多機能携帯電話）といったコンピュータを搭載した電子機器を使用して実現可能である。
【００３７】
図４に、情報処理装置３００のハードウェア構成を例示する。図４に例示する情報処理装置３００は、いわゆる一般的なコンピュータの構成を有している。
【００３８】
情報処理装置３００は、接続バスによって相互に接続されたＣＰＵ（Central Processing Unit）３０１、主記憶部３０２、補助記憶部３０３、入力部３０４、出力部３０５、
通信部３０６を有する。情報処理装置３００は、ＣＰＵ３０１が補助記憶部３０３に記憶されたプログラムを主記憶部３０２の作業領域に実行可能に展開し、プログラムの実行を通じて周辺機器の制御を行う。これにより、情報処理装置３００は、所定の目的に合致した機能を実現することができる。主記憶部３０２および補助記憶部３０３は、コンピュータである情報処理装置３００が読み取り可能な記録媒体である。
【００３９】
ＣＰＵ３０１は、情報処理装置３００全体の制御を行う中央処理演算装置である。ＣＰＵ３０１は、補助記憶部３０３に格納されたプログラムに従って処理を行う。主記憶部３０２は、ＣＰＵ３０１がプログラムやデータをキャッシュしたり、作業領域を展開したりする記憶媒体である。主記憶部３０２は、例えば、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）を含む。
【００４０】
補助記憶部３０３は、各種のプログラム及び各種のデータを読み書き自在に記録媒体に格納する。補助記憶部３０３には、オペレーティングシステム（Operating System :ＯＳ）、各種プログラム、各種テーブル等が格納される。ＯＳは、通信部３０６を介して接続される外部装置等とのデータの受け渡しを行う通信インターフェースプログラムを含む。外部装置等には、例えば、ネットワークを介して接続されたネットワーク上の、他の情報処理装置、記憶装置が含まれる。
【００４１】
補助記憶部３０３は、例えば、ＥＰＲＯＭ（Erasable Programmable ROM）、ソリッド
ステートドライブ装置、ハードディスクドライブ（ＨＤＤ、Hard Disk Drive）装置等で
ある。また、補助記憶部３０３としては、例えば、ＣＤドライブ装置、ＤＶＤドライブ装置、ＢＤドライブ装置等が提示できる。記録媒体としては、例えば、不揮発性半導体メモリ（フラッシュメモリ）を含むシリコンディスク、ハードディスク、ＣＤ、ＤＶＤ、ＢＤ、ＵＳＢ（Universal Serial Bus）メモリ等がある。
【００４２】
入力部３０４は、ユーザ等からの操作指示等を受け付ける。入力部３０４は、入力ボタン、キーボード、ポインティングデバイス、ワイヤレスリモコン、マイクロフォン、カメラ等の入力デバイスである。入力部３０４から入力された情報は、接続バスを介してＣＰＵ３０１に通知される。
【００４３】
出力部３０５は、ＣＰＵ３０１で処理されるデータや主記憶部３０２に記憶されるデータを出力する。出力部３０５は、ＣＲＴ（Cathode Ray Tube）ディスプレイ、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、ＥＬ（Electroluminescence）パネル、有機ＥＬパネル、プリンタ、スピーカ等の出力デバイスである。通信部３０
６は、例えば、ネットワーク等とのインターフェースである。
【００４４】
ＦＴ計算支援装置１０の情報処理装置３００は、ＣＰＵ３０１が補助記憶部３０３に記憶されている各種プログラムや各種データを主記憶部３０２に読み出して実行することにより、危険性シナリオ生成部１１０、シナリオ生成支援部１２０、ＦＴ生成部１３０、共通要因事象判定部１４０、ＦＴ災害確率計算部１５０、出力部１６０としての機能を実現する。
【００４５】
なお、各機能部のうち、いずれかが、他の情報処理装置に含まれてもよい。例えば、危険性シナリオ生成部１１０を含む情報処理装置と、シナリオ生成支援部１２０を含む情報処理装置と、ＦＴ生成部１３０を含む情報処理装置と、共通要因事象判定部１４０を含む情報処理装置と、ＦＴ災害確率計算部１５０を含む情報処理装置と、出力部１６０を含む情報処理装置とが、ネットワーク等を介して接続されることにより、ＦＴ計算支援装置１０の情報処理装置３００として機能してもよい。ＦＴ計算支援装置１０は、複数の情報処理装置に機能部を分散し、各機能部が実現されることで、負荷が軽減される。
【００４６】
〔機能ブロック構成〕
図３に例示のＦＴ計算支援装置１０では、情報処理装置３００は、危険性シナリオ生成部１１０、シナリオ生成支援部１２０、ＦＴ生成部１３０、共通要因事象判定部１４０、ＦＴ災害確率計算部１５０、出力部１６０の各機能部を有する。以上の各機能部による処理は、情報処理装置３００のＣＰＵ３０１が、主記憶部３０２上に実行可能に展開されたコンピュータプログラムを実行することで提供される。
【００４７】
また、ＦＴ計算支援装置１０では、以上の機能部が参照し、あるいは、管理するデータの格納先として、記憶装置２００に構築された、危険性シナリオ生成ＤＢ２１０、ＦＴ生成ＤＢ２２０、故障確率ＤＢ２３０、ヒューマンエラーＤＢ２４０、安全評価管理ＤＢ２５０を有する。
【００４８】
危険性シナリオ生成ＤＢ２１０には、プロセスシステム中の各プロセスを構成している設備機器の名称、設備機器の属するシステム種別、設備機器と対応付けられた機能不全モード等が格納される。また、設備機器の運転操作に対応付けられた防護機能（異常発生時の人的回復動作や検知手段等を含む）等が格納される。なお、危険性シナリオ生成ＤＢ２１０には、危険性シナリオをフローチャートで表示するための表示枠、接続配線といった各種部品等が格納される。
【００４９】
ＦＴ生成ＤＢ２２０には、生成された危険性シナリオに基づくＦＴを作図するための表示枠、論理記号、接続配線といった各種部品、回復動作に対応付けられた失敗事例、防御機能に対応する機器に対応付けられた故障動作、防御機能に対応する人的対処に対応付けられた失敗事由等が格納される。
【００５０】
故障確率ＤＢ２３０には、設備機器に対応付けられた故障確率が格納される。ヒューマンエラーＤＢ２４０には、防護機能としての人的回復動作に対応付けられたエラー確率が格納される。安全評価管理ＤＢ２５０には、生成された危険性シナリオ及び対応するＦＴ、ＦＴＡの解析結果等が格納される。
【００５１】
危険性シナリオ生成部１１０は、対象とするプロセス中の設備機器について、例えば、故障といった異常事象を初期事象とし、対象とするプロセスを含むプロセスシステムの危険性シナリオを生成する。危険性シナリオ生成部１１０は、例えば、操作者等によって入力された初期事象、初期事象から後続して生起し得る発生事象の連鎖、発生事象の連鎖の帰結として発生するプロセスの災害事象に基づいてフローチャート状の危険性シナリオを生成する。
【００５２】
危険性シナリオ生成部１１０は、発生事象に対応して運転操作が行われる設備機器に基づいて危険性シナリオ生成ＤＢ２１０を参照し、設備機器の各種設定情報を取得する。各種設定情報には、設備機器の名称、設備機器の属するシステム種別、設備機器と対応付けられた機能不全モードが含まれる。危険性シナリオ生成部１１０は、取得した各種設定情報を情報処理装置３００の出力部３０５に出力し、操作者等に提示する。
【００５３】
操作者等は、例えば、出力部３０５に提示された各種設定情報に基づいて設備機器と対応付けられた機能不全モード等を選定する。
【００５４】
また、危険性シナリオ生成部１１０は、提示された各種設定情報から操作者等によって選定された機能不全モードに応じて危険性シナリオ生成ＤＢ２１０を参照し、事象の発見方法（アラーム等）、事象の回復動作（設備機器の動作、運転員操作）等の設備機器の運転操作に対応付けられた防護機能を取得する。危険性シナリオ生成部１１０は、取得した防護機能を情報処理装置３００の出力部３０５に出力し、操作者等に提示する。
【００５５】
操作者等は、例えば、出力部３０５に提示された防護機能に基づいて、プロセスに適切な事象の発見方法、事象の回復動作等を選定する。そして、選定された防護機能によって後続して生起し得る発生事象が存在するときには、例えば、初期事象から後続して生起し得る発生事象の見直しが行われる。見直しの結果、新たな発生事象の追加・挿入が行われ、その都度、危険性シナリオ生成部１１０は、上述した処理を繰り返して実行する。
【００５６】
シナリオ生成支援部１２０は、操作者の要求に応じて、生成中の危険性シナリオに含まれる、初期事象から災害事象に至る発生事象の経路を時系列順に整理する。整理された各事象は、例えば、フローチャート上に時系列順に整理され、情報処理装置３００の出力部３０５に出力される。また、シナリオ生成支援部１２０は、初期事象から災害事象に至る発生事象の経路を時系列順に整理するときに、危険性シナリオ生成ＤＢ２１０を参照し、発生事象（初期事象を含む）と後続して発生し得る直後の発生事象（災害事象も含む）の経路間に防護機能の設定枠を挿入する。挿入される防護機能の設定枠は、事象の発見方法の設定枠，事象の回復動作の設定枠の並び順で一対となって経路間に挿入される。
【００５７】
危険性シナリオ生成部１１０、シナリオ生成支援部１２０の処理により完成された危険性シナリオのフローチャート（HAZchart）は、安全評価管理ＤＢ２５０に格納される。なお、危険性シナリオのフローチャートは、例えば、情報処理装置３００の主記憶部３０２の所定の領域に一時的に格納されるとしてもよい。
【００５８】
ＦＴ生成部１３０は、危険性シナリオ生成部１１０、シナリオ生成支援部１２０の処理により完成された危険性シナリオのフローチャート（HAZchart）から発生事象の連鎖の帰結として発生するプロセスの災害事象を頂上事象としたＦＴを生成する。ＦＴ生成部１３０は、危険性シナリオのフローチャートに整理された発生事象の時系列順に基づいて、各発生事象（頂上事象を除く）の階層化を行う。階層化された各発生事象はＦＴの骨格を構成する。
【００５９】
また、ＦＴ生成部１３０は、発生事象に対応して選定された事象の回復動作（設備機器
の動作、運転員操作）に基づいてＦＴ生成ＤＢ２２０を参照し、該選定された事象の回復動作の失敗事例を、対応する発生事象のＡＮＤ事象とする。そして、ＦＴ生成部１３０は、発生事象に対応して選定された事象の発見方法（アラーム等）に基づいてＦＴ生成ＤＢ２２０を参照し、該事象の発見方法に対応付けられた機器の故障動作、人的対処に対応付けられた失敗事由を取得する。ＦＴ生成部１３０は、取得した事象の発見方法に対応付けられた機器の故障動作、人的対処に対応付けられた失敗事由を事象の回復動作の失敗事例の下位事象とする。ＦＴ生成部１３０は、取得した事象の発見方法に対応付けられた機器の故障動作、人的対処に対応付けられた失敗事由が複数に存在する場合にはＯＲ事象とする。
【００６０】
ＦＴ生成部１３０は、階層化された各発生事象、発生事象に対応する回復事象によるＡＮＤ事象、事象の発見方法によるＯＲ事象等に基づいてＦＴ生成ＤＢ２２０を参照し、それぞれの事象に対応するＦＴを作図するための各種部品を取得し、プロセスの災害事象を頂上事象としたＦＴを生成する。生成されたＦＴでは、頂上事象に至る発生事象の論理的な因果連鎖関係の経路がツリー状に展開される。
【００６１】
ＦＴ生成部１３０の処理により生成されたＦＴは、安全評価管理ＤＢ２５０に格納される。なお、危険性シナリオのフローチャートは、例えば、情報処理装置３００の主記憶部３０２の所定の領域に一時的に格納されるとしてもよい。
【００６２】
共通要因事象判定部１４０は、危険性シナリオの発生事象に対応して運転操作が行われる設備機器の名称、設備機器が属するシステムの種別といった属性、設備機器と対応付けられた機能不全モード等の情報に基づいて、相互に依存性を持ち同時発生的な要素を含む事象である共通要因事象を判定する。共通要因事象判定部１４０は、ツリー状に展開されたＦＴの各事象間で設備機器の名称，属性，対応付けられた機能不全モードの同一性を判定し、共通要因事象を特定する。特定された共通要因事象は、ＦＴ災害確率計算部１５０に引き渡される。
【００６３】
ＦＴ災害確率計算部１５０は、共通要因事象判定部１４０から引き渡された共通要因事象及び生成されたＦＴの基本事象に基づいて故障確率ＤＢ２３０、ヒューマンエラーＤＢ２４０を参照し、危険性シナリオで発生し得るプロセスの災害事象の発生確率を計算する。ＦＴ災害確率計算部１５０は、基本事象の設備機器に対応付けられた故障確率及び防護機能としての人的回復動作に対応付けられたエラー確率を取得する。ＦＴ災害確率計算部１５０は、取得した故障確率及びエラー確率から頂上事象に至る発生事象の論理的な因果連鎖関係の経路順に各発生事象の発生確率を各論理記号に沿って計算し、発生事象毎の発生確率から頂上事象の発生確率を計算する。ＦＴ災害確率計算部１５０は、計算された発生確率を情報処理装置３００の出力部３０５に出力し、操作者等に提示する。
【００６４】
ＦＴ災害確率計算部１５０の処理により計算された頂上事象の発生確率は、プロセスの災害事象（頂上事象）に至るシナリオの安全評価の指数として、生成された危険性シナリオに対応付けられて安全評価管理ＤＢ２５０に格納される。なお、計算された頂上事象の発生確率は、例えば、情報処理装置３００の主記憶部３０２の所定の領域に一時的に格納されるとしてもよい。
【００６５】
出力部１６０は、操作者等とＦＴ計算支援装置１０のインターフェースである。例えば、操作者等からの閲覧要求により、各ＤＢに格納された情報を取得し、操作者等が閲覧可能に出力する。例えば、出力部１６０は、取得した情報を情報処理装置３００の出力部３０５に出力し、操作者等に提示する。
【００６６】
〔処理フロー〕
以下、図５から図８Ｃを参照し、本実施形態のＦＴ計算支援処理を説明する。
【００６７】
＜ＦＴ計算処理の説明事例＞
図５は、ＦＴ計算支援処理を説明するためのプロセスシステムの例示である。図５のプロセスシステムは、気液分離装置２０、液面計２１、制御弁（ＬＣＶ：Liquid Control Valve）２２を構成に含む。液面計２１は、気液分離装置２０内の液面の位置を検知し、液面低下といった異常を検知した際には、アラームを通知するアラーム機能を備える。
【００６８】
図５のプロセスでは、気液分離装置２０に液体と気体（ガス）との混合体が流入し、気液分離装置２０内で気体と液体とに分離され、それぞれに異なる配管経路を介して気液分離装置２０の外部に流出される。気液分離装置２０で分離された液体が流出する経路には、流量を調節する制御弁２２が設置されている。
【００６９】
図５のプロセスシステムでは、液面計２１の信号により、例えば、ＤＣＳ（Distributed Control System）や運転員等による回復動作が行われる。例えば、信号を受けたＤＣＳは、流量を調節する制御弁２２の開度を制御し、気液分離装置２０内の液面の位置が正常状態に回復するよう自動的に動作する。そして、液面計２１によるアラームの通知により、運転員等は気液分離装置２０内の液面低下を知り、例えば、ＤＣＳへの制御指示、手動による制御弁２２の開閉操作を行い、気液分離装置２０内の液面の位置が正常状態に回復するよう回復操作を行う。つまり、図５の説明事例では、液面計２１のアラーム機能が、防護機能としての事象の発見方法に相当し、ＤＣＳによる自動及び操作指示による回復制御、運転員の手動による制御弁操作が事象の回復動作に相当する。
【００７０】
図５のプロセスにおいて、制御弁２２の開度が過大となり、気液分離装置２０内の液面が低下したケースでは、気液分離装置２０内の液面が低下した結果、液体を流出する配管経路にガスが混入する事象が想定できる。以下では、制御弁２２の開度が過大となったケースを説明例として、本実施形態のＦＴ計算支援処理を説明する。
【００７１】
＜ＦＴ計算処理フロー＞
図６は、情報処理装置３００によるＦＴ計算支援処理のフローチャートの例示である。ＦＴ計算支援装置１０の情報処理装置３００は、主記憶部３０２に実行可能に展開されたコンピュータプログラムにより、ＦＴ計算支援処置を実行する。
【００７２】
図６に例示するフローチャートにおいて、ＦＴ計算支援処理の開始は、例えば、補助記憶部３０３に格納されたコンピュータプログラムの起動が提示できる。次に、ＦＴ計算支援処理を実行する情報処理装置３００は、例えば、出力部３０５に危険性シナリオを生成するための初期入力画面を出力し、操作者等に危険性シナリオの事象の初期登録を促し、初期登録情報の取得を行う（Ｓ１）。
【００７３】
図７Ａは、危険性シナリオを生成するために出力部３０５に出力される初期入力画面の一例である。図例の初期入力画面３０は、「Line」フィールド３０ｆ、「Causes」フィールド３０ａ、「Consequences」フィールド３０ｂ、「HC/FT」フィールド３０ｅ、「Safeguards」フィールド３０ｃ、「Probability」フィールド３０ｄを含む。「Line」フィールド３０ｆには行番号が入力され、各行毎に危険性シナリオの登録が可能である。「Causes」フィールド３０ａには、危険性シナリオを生成するための初期事象が入力される。「Causes」フィールド３０ａに入力される初期事象は、対象とするプロセス中の設備機器について発生し得る異常事象である。「Consequences」フィールド３０ｂには、初期事象から後続して生起し得る発生事象の連鎖の帰結として発生するプロセスの災害事象へ至る災害シナリオが入力される。「HC/FT」フィールド３０ｅには危険性シナリオ分析で生成され
るHAZchart、ＦＴの識別情報が入力される。「Safeguards」フィールド３０ｃには、安全
対策（想定される安全対策をも含む）が表示される。「Probability」フィールド３０ｄ
には、ＦＴ計算支援処理の結果、算出された災害発生確率が入力される。
【００７４】
操作者等は、例えば、図５のプロセスで想定されたケース（説明例）に沿って、危険性シナリオの初期登録を行う。説明例のケースでは、制御弁２２の開度過大が、対象とするプロセス中の設備機器について発生し得る異常事象であるため、図７Ａの初期入力画面３０の「Causes」フィールド３０ａに「ＬＣＶ開度過大」を入力する。また、説明例のケースでは、気液分離装置２０内の液面が低下し、液体を流出する配管経路にガスが混入するので、図７Ａの初期入力画面３０の「Consequences」フィールド３０ｂに「液面低下→ラインにガスが入る」との災害シナリオを入力する。また、説明例のケースでは、液面計２１のアラームが現状の安全対策なので、図７Ａの初期入力画面３０の「Safeguards」フィールド３０ｃに「液面計アラーム」を入力する。
【００７５】
図６に例示のフローチャートに戻り、情報処理装置３００は、初期登録情報に基づき、危険性シナリオの生成を行う（Ｓ２）。危険性シナリオの生成は、初期事象、初期事象から後続して発生する発生事象の連鎖、発生事象の連鎖の帰結である災害事象をフローチャートに展開した、HAZchartを生成することで実行される。そして、情報処理装置３００は、生成された危険性シナリオのHAZchartに基づいてＦＴの生成を行う（Ｓ３）。なお、取得した初期登録情報は、HAZchartの識別番号、ＦＴの識別番号と対応付けられ、安全評価管理ＤＢ２５０に格納される。また、Ｓ２で生成される危険性シナリオのHAZchartの識別番号とＳ３で生成されるＦＴの識別番号は、例えば「HC-XXXX」，「FT-XXXX」のように、「XXXX」といった同一の管理番号が付与され、「HC-XXXX/FT-XXXX」のように一組の情報
として管理される。
【００７６】
＜HAZchart生成フロー＞
図８Ａに、Ｓ１の詳細なフローチャートを例示する。図８Ａのフローチャートにおいて、情報処理装置３００は、初期事象として登録された設備機器の異常事象をHAZchartでの初期事象とする（Ｓ２１）。情報処理装置３００は、危険性シナリオ生成ＤＢ２１０を参照し、初期事象に対応付けられた作図部品等を取得し、HAZchartの初期事象を生成する。
【００７７】
Ｓ２２では、情報処理装置３００は、初期事象から後続して発生する発生事象の連鎖、及び、発生事象の連鎖の帰結である災害事象を特定するため、入力された災害シナリオの文字列を分析処理の対象文字列とする。そして、Ｓ２３−Ｓ２６では、情報処理装置３００は、対象文字列に対し、例えば、形態素解析等による発生事象の分析処理を繰り返し実行する。
【００７８】
Ｓ２３−Ｓ２６では、情報処理装置３００は、例えば、形態素解析等による分析処理を実行する。情報処理装置３００は、Ｓ２３−Ｓ２６の処理により、災害シナリオに含まれる発生事象の連鎖から、初期事象から後続して発生する発生事象の連鎖（災害事象を除く）を中間事象とし、発生事象の連鎖の帰結として発生する事象を災害事象として特定する。情報処理装置３００は、特定された中間事象、災害事象に応じて危険性シナリオ生成ＤＢ２１０を参照し、各事象に対応付けられた作図部品等を取得し、HAZchartの中間事象、災害事象を生成する。
【００７９】
Ｓ２３−Ｓ２６の処理では、対象文字列を構成する文字に対して前方から順に注目し分析処理を行う（Ｓ２３）。そして、対象文字列に含まれる事象進展を表すセパレータを特定する（Ｓ２４）。例えば、「液面低下→ラインにガスが入る」との説明例の災害シナリオでは、「液面低下」と「ラインにガスが入る」との間に事象進展を表す「→」がセパレータとして含まれている。情報処理装置３００は、対象文字列を分析処理することにより、事象進展を表すセパレータを特定する。なお、事象進展を表すセパレータは任意の文字
、記号等を設定することができる。
【００８０】
Ｓ２５では、Ｓ２４で特定されたセパレータを挟み、前後する文字列を事象進展に沿って時系列順に発生する事象と特定する。例えば、「液面低下→ラインにガスが入る」との説明例の災害シナリオでは、セパレータである「→」を挟み、「液面低下」、「ラインにガスが入る」との事象が前後に配列されている。情報処理装置３００は、セパレータである「→」を挟み、前後に配列される文字列の記載範囲を特定し、特定した前後順にHAZchartの進展事象の構成とし、それぞれの事象内容（「液面低下」、「ラインにガスが入る」）に応じて危険性シナリオ生成ＤＢ２１０から作図部品等を取得し、HAZchartの中間事象、災害事象を生成する。
【００８１】
Ｓ２６では、対象文字列の最後まで順にＳ２３−Ｓ２５の分析処理を繰り返し実行する。
【００８２】
Ｓ２７では、情報処理装置３００は、Ｓ２１−Ｓ２６の処理によって生成されたHAZchartの構成を時系列順に整理する。情報処理装置３００は、Ｓ２１で生成した初期事象を先頭に配置し、Ｓ２３−Ｓ２６で分析処理された構成を災害シナリオに沿って時系列順に配置する。そして、事象と後続する事象との間に防護機能が含まれない経路には、事象の発見方法，事象の回復動作の順で一対を構成する防護機能の設定枠を挿入する。情報処理装置３００は、危険性シナリオ生成ＤＢ２１０から事象の発見方法，事象の回復動作の順で一対を構成する防護機能の設定枠を取得し、HAZchartの、事象と後続する事象とを結ぶ経路に挿入する。
【００８３】
Ｓ２１−Ｓ２７で生成されたHAZchartでは、Ｓ２７の処理により、初期事象を起因として、後続して生起し得る発生事象から災害事象へ至る因果関係を時系列順に整理して把握することができる。また、事象と後続する事象との経路間に事象の発見方法，事象の回復動作の順で一対を構成する防護機能の設定枠を挿入しているので、操作者等に防護機能（事象の発見方法，事象の回復動作）の存在を意識させることができる。
【００８４】
Ｓ２１−Ｓ２７の処理により生成されたHAZchartは、例えば、情報処理装置３００の出力部３０５に表示出力され、操作者等に提示される。
【００８５】
図７Ｂに、説明例の危険性シナリオに基づいて生成されたHAZchartを例示する。図例のHAZchartでは、初期事象から災害事象に向かう方向が因果連鎖関係の時系列方向であり、「ＬＣＶ開度過大」は危険性シナリオの初期事象３１ａとして最上位に配置されている。中間事象として入力された「液面低下」は、初期事象から発生する発生事象（中間事象３１ｂ）として初期事象３１ａに後続して中位に配置されている。また、災害シナリオとして入力された「ラインにガスが入る」は、プロセスの災害事象３１ｃとして最下位に配置されている。このように、図例のHAZchartでは、初期事象３１ａ、中間事象３１ｂ、災害事象３１ｃが時系列順に整理して配置される。
【００８６】
また、初期事象３１ａと中間事象３１ｂとの経路間には、事象の発見方法３１ｄと事象の回復動作３１ｅにより構成された一対の防護機能の設定枠が挿入されている。同様に、中間事象３１ｂと災害事象３１ｃとの経路間には、事象の発見方法３１ｆと事象の回復動作３１ｇにより構成された一対の防護機能の設定枠が挿入されている。このように、図例のHAZchartでは、事象と後続する事象との経路間に防護機能の設定枠が挿入されるため、HAZchartを提示された操作者等は防護機能の存在を意識することができる。
【００８７】
なお、設定枠３１ｈは事象の回復動作３１ｅに関連付けられる「成功」時のシナリオ設定枠であり、設定枠３１ｊは事象の回復動作３１ｇに関連付けられる「成功」時のシナリ
オ設定枠である。
【００８８】
説明例の災害シナリオでは、「液面計アラーム」が現状の安全対策なので、図７ＢのHAZchartに基づいて、現状の安全対策を防護機能として設定する。
【００８９】
操作者等はポインティングデバイスといった入力デバイスの操作を行い、例えば、情報処理装置３００から提示されたHAZchartの設定枠を指定し、防護機能の設定入力を行う。
【００９０】
情報処理装置３００は、例えば、ポインティングデバイスといった入力デバイスの操作指示を受け付け、Ｓ１で取得した初期登録情報に基づいて危険性シナリオ生成ＤＢ２１０から、設備機器の名称、設備機器の属するシステム種別、設備機器と対応付けられた機能不全モード、設備機器の運転操作に対応付けられた防護機能（異常発生時の人的回復動作や検知手段等を含む）等を取得する。取得した各種情報は、操作者に提示される。
【００９１】
図７Ｃ、７Ｄに、危険性シナリオ生成ＤＢ２１０を参照し、取得した情報の表示画面を例示する。図７Ｃは、防護機能としての事象の発見方法の表示画面例であり、図７Ｄは、防護機能としての人的回復動作の表示画面例である。
【００９２】
図７Ｃの表示画面３２では、領域３２ａに提示されている複数の検出システム、アラーム等が危険性シナリオ生成ＤＢ２１０から取得された情報である。図例の表示画面３２は、操作者等によって領域３２ａに表示された事象の発見方法に対応付けられた設備機器の属するシステム種別が選択され、領域３２ｂに設備機器の名称が設定された状態を示している。
【００９３】
操作者は、領域３２ａに提示された複数の検出システム、アラーム等から説明例の災害シナリオに沿って現状の安全対策である「液面計アラーム」が含まれる「液面検出システム」を選択し、対象となる設備機器の名称である「ＬＣＶ」を領域３２ｂに設定する。領域３２ｃには、設備機器に対応付けられた機能不全モード「検出値異常」が自動的に表示される。
【００９４】
情報処理装置３００は、操作者等により選択された「液面検出システム」を、HAZchartの事象の発見方法３１ｆに登録する。
【００９５】
図７Ｄの表示画面３３では、領域３３ａ、３３ｂ、３３ｃに表示されている情報が危険性シナリオ生成ＤＢ２１０から取得された情報である。操作者等は、領域３３ａ、３３ｂ、３３ｃに表示された「運転員」による不全モード「回復動作失敗」を確認し、防護機能としての人的回復動作を設定する。
【００９６】
情報処理装置３００は、操作者等により設定された「運転員  回復動作」を、HAZchartの事象の回復動作３１ｇに登録する。
【００９７】
以上のように、防護機能の設定が行われ、危険性シナリオに基づいて生成されたHAZchartを図７Ｅに例示する。図７ＥのHAZchartでは、中間事象３１ｂと災害事象３１ｃとの経路間に挿入された防護機能には、事象の発見方法３１ｆとして「液面検出システム」が設定され、事象の回復動作３１ｇとして「運転員  回復動作」が設定されている。
【００９８】
＜ＦＴ＞
図６に例示するフローチャートに戻り、情報処理装置３００は、生成された災害シナリオのHAZchartに基づいてＦＴの生成を行う（Ｓ３）。なお、HAZchartからのＦＴの生成は、ＦＴ生成部１３０の機能説明で説明した。
【００９９】
図７Ｆに、説明例の災害シナリオによるＦＴを例示する。図７Ｆは、図７Ｅに例示のHAZchartに基づいて生成されたＦＴである。
【０１００】
図７ＦのＦＴにおいて、頂上事象３４ａの「ラインにガスが入る」、事象３４ｃの「液面低下」、事象３４ｅの「ＬＣＶ開度過大」は、それぞれ、図７Ｅの災害事象３１ｃ、中間事象３１ｂ、初期事象３１ａに対応している。図７ＦのＦＴにおいて、頂上事象３４ａ、事象３４ｃ、事象３４ｅは、図７ＥのHAZchartとは逆の時系列順に階層化されている。
【０１０１】
また、図７ＦのＦＴでは、図７Ｅの事象の回復動作３１ｇとして設定された「運転員回復動作」の「失敗」事例である事象３４ｄの「運転員回復操作失敗」が、事象３４ｃの「液面低下」に対応するＡＮＤ事象としてＡＮＤゲート３４ｂで結ばれている。
【０１０２】
図７ＦのＦＴにおいて、事象３４ｄには、人的対処に対応付けられた事象３４ｍの「アラームに気づかない」と事象３４ｎの「発見するが操作失敗」と事象３４ｐの「発見手段の故障」とが下位事象としてＯＲ事象で結ばれている。さらに、事象３４ｐには、事象３４ｒの「ＤＣＳ故障」と事象３４ｓの「液面計故障」と事象３４ｔの「アラーム故障」とが下位事象としてＯＲ事象で結ばれている。なお、３４ｋ、３４ｑはＯＲゲートである。
【０１０３】
また、図７ＦのＦＴでは、「ＬＣＶ開度過大」の事象３４ｅには、図７Ｅの事象の発見方法３１ｆとして設定された「液面検出システム」の「故障」事例が下位事象として結ばれている。なお、「液面検出システム」の「故障」事例として、事象３４ｇの「空気調節弁故障」と事象３４ｈの「ＤＣＳ故障」と事象３４ｊの「液面計故障」とがＯＲ事象としてＯＲゲート３４ｆで結ばれている。
【０１０４】
図７ＦのＦＴにおいて、事象３４ｊの「液面計故障」が発生した場合、事象３４ｅの「ＬＣＶ開度過大」が発生し、事象３４ｃの「液面低下」が発生し、「ラインにガスが入る」との頂上事象３４ａが発生することとなる。
【０１０５】
図５に例示のプロセスシステムでは、事象３４ｅの「ＬＣＶ開度過大」が発生した場合の安全対策として「液面計アラーム」を想定している。そうすると、例えば、図７ＦのＦＴにおいて、事象３４ｊの「液面計故障」が事象３４ｓの「液面計故障」と同じ場合（共通要因事象）には、事象３４ｐの「発見手段の故障」が発生し、事象３４ｄの「運転員  回復操作失敗」が発生してしまう。
【０１０６】
つまり、説明例の危険性シナリオでは、「液面計故障」が発生した場合には、「ＬＣＶ開度過大」で生じた気液分離装置２０内の異常事象の「液面低下」は発見できないため、安全対策として想定した「液面計アラーム」は動作しない。このため、例えば、アラーム通知を受けた運転員の回復操作（手動による制御弁操作等）は行われず「ラインにガスが入る」との頂上事象３４ａが発生することとなる。説明例の危険性シナリオで想定している「液面計アラーム」は、「ＬＣＶ開度過大」との初期事象には安全対策として不適切であることが判る。
【０１０７】
図７ＦのＦＴにおいて、事象３４ｅにＯＲ事象として結ばれた事象３４ｈの「ＤＣＳ故障」についても、事象３４ｐの下位事象として結ばれたＯＲ事象に「ＤＣＳ故障」（事象３４ｒ）が存在するため、同様である。
【０１０８】
本実施形態のＦＴ計算支援処理では、このような共通要因事象を特定することにより、プロセスの安全対策の適切性を判定し、災害発生確率の確度を向上させることが可能となる。
【０１０９】
＜共通要因事象判定フロー＞
図６に例示のフローチャートに戻り、情報処理装置３００は、ＦＴに展開された事象（構成要素）から、共通要因事象を判定する（Ｓ４）。
【０１１０】
図８Ｂに、Ｓ４の詳細なフローチャートを例示する。図８Ｂのフローチャートにおいて、情報処理装置３００は、Ｓ３で生成されたＦＴ中の全ての基本事象ノードから２つのノードの組合せを順次選定する（Ｓ４１）。ここで基本事象は、例えば、図７ＦのＦＴにおいて、事象３４ｇ、３４ｈ、３４ｊ、３４ｍ、３４ｎ、３４ｒ、３４ｓ、３４ｔといった、後続して発生する事象が存在しない最下位事象である。基本事象ノードは、ＦＴを構成する構成要素である。なお、基本事象ノードの組合せは任意である。
【０１１１】
Ｓ４２では、情報処理装置３００は、選定した２つの構成要素（図中では「ノード」）において、設備機器の「名称（図中では「機器名称」）」、設備機器の属する「種別（図中では「機器種別」）」、設備機器に対応付けられた「機能不全モード（図中では「故障モード」）」が全て同一かを判定する。情報処理装置３００は、例えば、一方の構成要素について、設備機器の「名称」、設備機器の属する「種別」、設備機器に対応付けられた「機能不全モード」を抽出する。そして、抽出した「名称」、「種別」、「機能不全モード」に基づいて他方の構成要素を検索する。検索の結果、抽出された「名称」、「種別」、「機能不全モード」と同一の「名称」、「種別」、「機能不全モード」が存在する場合には、同一と判定し（Ｓ４２，ＹＥＳ）、Ｓ４３に移行する。検索の結果、抽出された「名称」、「種別」、「機能不全モード」と同一の「名称」、「種別」、「機能不全モード」が存在しない場合には、同一でないと判定し（Ｓ４２，ＮＯ）、Ｓ４４に移行する。
【０１１２】
例えば、図７Ｆにおいて、情報処理装置３００は、事象３４ｊと事象３４ｓを選定する。そして、情報処理装置３００は、事象３４ｊの設備機器の「名称」、設備機器の属する「種別」、設備機器に対応付けられた「機能不全モード」を抽出する。事象３４ｊでは、設備機器の「名称」は「ＬＣＶ」であり、設備機器の属する「種別」は「液面検出システム」であり、設備機器に対応付けられた「機能不全モード」は「検出値異常」が抽出される。情報処理装置３００は、抽出された「ＬＣＶ」、「液面検出システム」、「検出値異常」で、事象３４ｓの設備機器の「名称」、設備機器の属する「種別」、設備機器に対応付けられた「機能不全モード」を検索する。事象３４ｓは、事象３４ｊと同一の事象の発見方法であるため、事象３４ｓの設備機器の「名称」、設備機器の属する「種別」、設備機器に対応付けられた「機能不全モード」は、事象３４ｊと一致する。情報処理装置３００は、Ｓ４２に移行する。
【０１１３】
Ｓ４３では、情報処理装置３００は選定された２つの構成要素を共通要因事象として特定する。特定された構成要素には、例えば、共通要因事象を示すフラグを設定するとしてもよい。また、Ｓ４４では、情報処理装置３００は選定された２つの構成要素を独立事象とする。
【０１１４】
Ｓ４５では、全ての構成要素の組合せが終了するまでＳ４１−Ｓ４５の反復処理を実施する。情報処理装置３００は、共通要因事象と特定した構成要素の情報をＳ５、Ｓ６に引き渡す。例えば、図７Ｆでは、情報処理装置３００は共通要因事象としてＳ３４ｊ，Ｓ３４ｓ、Ｓ３４ｈ，Ｓ３４ｒを抽出された設備機器の「名称」、設備機器の属する「種別」、設備機器に対応付けられた「機能不全モード」とともに、Ｓ５、Ｓ６に引き渡す。
【０１１５】
＜安全対策判定フロー＞
図６に例示のフローチャートに戻り、情報処理装置３００は、Ｓ４で特定した共通要因事象から、初期登録された安全対策の適否を判定する（Ｓ５）。
【０１１６】
図８Ｃに、Ｓ５の詳細なフローチャートを例示する。図８Ｃのフローチャートにおいて、情報処理装置３００は、分析対象とする初期事象と頂上事象により災害シナリオ経路を特定する（Ｓ５１）。そして、情報処理装置３００は、特定した災害シナリオ経路において、全ての、人的対処に資する検出システム及び自動対処システムを安全対策の対象候補として順次選定する（Ｓ５２）。例えば、図７ＥのHAZchartでは、Ｓ５２の処理により、事象の発見方法３１ｆとして設定された「ＬＣＶ  液面検出システム」が選定される。
【０１１７】
Ｓ５３では、情報処理装置３００は、対象システムを構成する設備機器において、初期事象の機能不全モードを構成する機器故障が発生していることを前提とした場合、対象候補は災害進展防御に資する設備構成かを判定する。例えば、情報処理装置３００は、Ｓ５２で選定された対象候補が、Ｓ４で特定した共通要因事象であるか否かを判定し、災害進展防御に資する設備構成であるかを判定するとしてもよい。対象候補となる人的対処に資する検出システム及び自動対処システムが共通要因事象の場合には、災害進展防御に資する設備構成ではないからである。
【０１１８】
情報処理装置３００は、Ｓ５２で選定された対象候補が、共通要因事象として抽出された設備機器の「名称」、設備機器の属する「種別」、設備機器に対応付けられた「機能不全モード」と同一であるか否かを判定する。Ｓ５２で選定された対象候補が共通要因事象として抽出された設備機器と同一である場合には、情報処理装置３００は、対象候補は災害進展防御に資する設備構成でない（Ｓ５３，ＮＯ）と判定し、Ｓ５４に移行する。Ｓ５２で選定された対象候補が共通要因事象として抽出された設備機器と同一でない場合には、情報処理装置３００は、対象候補は災害進展防御に資する設備構成（Ｓ５３，ＹＥＳ）と判定し、Ｓ５５に移行する。
【０１１９】
Ｓ５３の処理により、例えば、事象の発見方法３１ｆとして設定された「ＬＣＶ  液面検出システム」は、Ｓ４で特定された共通要因事象のため、対象候補は災害進展防御に資する設備構成でないと判定される。
【０１２０】
Ｓ５４では、情報処理装置３００は、例えば、主記憶部３０２の所定の領域に対象候補のシステム名を一時的に記憶し、Ｓ５５に移行する。
【０１２１】
Ｓ５５では、情報処理装置３００は、次の対象候補を設定し、災害シナリオ経路において全ての対象候補が終了するまで反復処理を実施する。情報処理装置３００は、Ｓ５４で記憶した対象候補のシステム名をＳ７に引き渡す。
【０１２２】
＜ＦＴ災害確率の計算＞
図６に例示のフローチャートに戻り、情報処理装置３００は、Ｓ４で特定した共通要因事象（共通要因事象）に基づいて災害事象に至る発生確率の計算を行う（Ｓ６）。情報処理装置３００は、Ｓ３で生成された基本事象に基づいて故障確率ＤＢ２３０、ヒューマンエラーＤＢ２４０から、基本事象の設備機器に対応付けられた故障確率及び防護機能としての人的回復動作に対応付けられたエラー確率を取得する。情報処理装置３００は、取得した故障確率及びエラー確率と共通要因事象から、災害事象に至る発生確率を各論理記号で結ばれた経路に沿って計算する。
【０１２３】
Ｓ６で計算された災害事象に至る発生確率は、例えば、情報処理装置３００の出力部３０５に表示出力され、操作者等に提示される。なお、Ｓ６で計算された災害事象に至る発生確率は、プロセスの災害事象に至るシナリオの安全評価の指数として、HAZchart及びＦＴの識別番号と対応付けられて安全評価管理ＤＢ２５０に格納される。
【０１２４】
図７Ｇに、共通要因事象に基づいて計算された災害事象に至る発生確率の表示画面を例示する。
【０１２５】
図７Ｇに例示の表示画面３５において、領域３５ａ、３５ｂ、３５ｄにはＳ１で取得した初期登録情報が表示される。図７Ｇの領域３５ａには初期事象として登録した「ＬＣＶ開度過大」が表示され、領域３５ｂには災害シナリオとして登録した「液面低下→ラインにガスが入る」が表示され、領域３５ｄには現状の安全対策として登録した「液面計アラーム」が表示される。なお、領域３５ｃには、Ｓ２の災害シナリオ生成時に付与されたHAZchartの識別番号、ＦＴの識別番号が表示される。
【０１２６】
図７Ｇに例示の表示画面３５において、Ｓ６で計算された災害事象に至る発生確率は、領域３５ｅに表示される。説明例のＦＴにおいて共通要因事象を反映した災害事象に至る発生確率は、「１．９１Ｅ−００４」となる。
【０１２７】
図６に例示するフローチャートに戻り、情報処理装置３００は、初期登録情報の更新を行い、Ｓ５で判定処理された安全対策の適否の結果を操作者等に提示する（Ｓ７）。初期登録情報の更新は、例えば、図７Ｈに例示する表示画面３６を操作者に提示し、初期登録情報の更新を促す。操作者等は、ポインティングデバイスといった入力デバイスの操作を行い、例えば、情報処理装置３００から提示された表示画面３６の操作ボタン３６ａを操作し、更新処理を実行させる。
【０１２８】
情報処理装置３００は、例えば、ポインティングデバイスといった入力デバイスの操作指示を受け付け、Ｓ５で引き渡された対象候補のシステム名に基づいて、初期入力画面３０の「Safeguards」フィールド３０ｃを更新する。また、Ｓ６で計算された災害事象に至る発生確率に基づいて「Probability」フィールド３０ｄを更新する。
【０１２９】
さらに、情報処理装置３００は、Ｓ５で判定処理された安全対策の適否に基づいて、初期入力画面３０の「Safeguards」フィールド３０ｃの更新処理を行う。例えば、情報処理装置３００は、Ｓ５の判定処理の結果、引き渡された対象候補のシステム名に対応する「Safeguards」フィールド３０ｃの安全対策の文字列を検索し、「Safeguards」フィールド３０ｃから削除するとしてもよい。また、例えば、安全対策が複数に登録されている場合には、対象候補のシステム名と関連付けられている安全対策の文字列をハイライト表示するとしてもよい。更新の結果、「Safeguards」フィールド３０ｃに表示された現状の安全対策が災害進展防御に資する設備構成でない（不適切な安全対策である）ことを操作者等に提示できれば良い。
【０１３０】
なお、図７Ｂで説明したように、HAZchartでは、事象と後続する事象との経路間に防護機能の設定枠が挿入されるため、HAZchartを提示された操作者等は防護機能の存在を意識することができる。例えば、操作者は、提示された防護機能の存在から、既に入力された初期事象３１ａと災害事象３１ｃとの間の中間事象３１ｂを、より詳細に検討することが可能である。この場合、操作者はHAZchartで表示された中間事象３１ｂと災害事象３１ｃとの間、初期事象３１ａと中間事象３１ｂとの間に中間事象３１ｂ´，３１ｂ´´といった複数の事象を追加することが可能である。このような追加変更が生じた場合には、情報処理装置３００は、上述した更新処理と共に初期入力画面３０の「Consequences」フィールド３０ｂを更新する。
【０１３１】
例えば、初期事象３１ａと中間事象３１ｂとの間に中間事象３１ｂ´が追加された場合では、情報処理装置３００は、追加された中間事象３１ｂ´を初期事象３１ａと中間事象３１ｂとの間に挿入し、初期入力画面３０の「Consequences」フィールド３０ｂを更新する。情報処理装置３００は、HAZchartで追加された中間事象３１ｂ´から文字列を抽出し
、「→」といった事象進展を表すセパレータと組合せ、初期事象３１ａと中間事象３１ｂとの文字列間に挿入する。
【０１３２】
図７Ｊに、初期登録情報の更新が行われた結果の表示画面を例示する。図７Ｊの表示画面例は、更新処理の結果、図７Ａに例示の初期入力画面３０で設定された「Safeguards」フィールド３０ｃから、「液面計アラーム」との文字列が削除された画面例である。
【０１３３】
〔効果〕
以上のように、本実施形態のＦＴ計算支援処理では、災害シナリオに含まれる発生事象に対応して運転操作が行われる全ての構成要素を検索し、同一の名称及び属性の構成要素が存在する場合には、該構成要素を共通要因事象と特定できるため、シナリオ中に複数の共通要因事象が存在しても、災害事象の正確な発生確率が計算できる。安全対策が設定されている場合には、特定された共通要因事象に基づいて、設定された安全対策の適否を判定する。判定結果に基づき、従前に想定した安全対策の見直しにより、適切な安全対策の配備が可能になるため、安全確度の高いプロセスシステムが構築できる。
【０１３４】
また、本実施形態のＦＴ計算支援処理では、初期事象を起因として、後続して生起し得る発生事象から災害事象へ至る災害シナリオをHAZchartとして時系列順に整理して表示できる。このため、複雑な事象間の因果関係を容易に把握できる。また、事象と後続する事象との経路間に事象の発見方法，事象の回復動作の順で一対を構成する防護機能の設定枠を挿入しているので、操作者等に防護機能（事象の発見方法，事象の回復動作）の存在を意識させることができる。
【０１３５】
《コンピュータが読み取り可能な記録媒体》
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。
【０１３６】
ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、ブルーレイディスク、ＤＡＴ、８ｍｍテープ、フラッシュメモリなどのメモリカード等がある。また、コンピュータ等に固定された記録媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。
【符号の説明】
【０１３７】
１０    ＦＴ計算支援装置
２０    気液分離装置
２１    液面計
２２    制御弁
１１０  危険性シナリオ生成部
１２０  シナリオ生成支援部
１３０  ＦＴ生成部
１４０  共通要因事象判定部
１５０  ＦＴ災害確率計算部
１６０  出力部
２００  記憶装置
２１０  危険性シナリオＤＢ
２２０  ＦＴ生成ＤＢ
２３０  故障確率ＤＢ
２４０  ヒューマンエラーＤＢ
２５０  安全評価管理ＤＢ
３００  情報処理装置
３０１  ＣＰＵ
３０２  主記憶部
３０３  補助記憶部
３０４  入力部
３０５  出力部
３０６  通信部
【図１】
2014059639.tif 000003
【図２】
2014059639.tif 000004
【図３】
2014059639.tif 000005
【図４】
2014059639.tif 000006
【図５】
2014059639.tif 000007
【図６】
2014059639.tif 000008
【図７Ａ】
2014059639.tif 000009
【図７Ｂ】
2014059639.tif 000010
【図７Ｃ】
2014059639.tif 000011
【図７Ｄ】
2014059639.tif 000012
【図７Ｅ】
2014059639.tif 000013
【図７Ｆ】
2014059639.tif 000014
【図７Ｇ】
2014059639.tif 000015
【図７Ｈ】
2014059639.tif 000016
【図７Ｊ】
2014059639.tif 000017
【図８Ａ】
2014059639.tif 000018
【図８Ｂ】
2014059639.tif 000019
【図８Ｃ】
2014059639.tif 000020