供用状態にある石油化学・石油精製プラントのリスクアセスメント
九州大学名誉教授

松山

1．はじめに久義 Hisayoshi Matsuyama

2．リスクアセスメントの
手順2011年1）と2012年2），3）に石油化学プラン
トで重大事故が発生した後、各方面から供用リスクアセスメントの手順を図1に示す。

状態にあるプラントのリスクアセスメントの手順（4）で求めた初期事象の発生頻度と防重要性が指摘された。しかし、方法論が確立

御層の失敗確率から、手順（5）において最しているのは、プラントの機能設計終了時に終事象の発生頻度を評価するときには “多重行われるリスクアセスメントだけであって、防御層”5） を用いると便利である。多重防御供用状態にあるプラントのリスクアセスメン

層は、スイスチーズモデルを、石油化学・石トについては、確立した方法論が存在しない。

油精製プラントにおける事象の進展を表現すしたがって、その後約10年間にわたって、るために具体化したもので、その概念図を図各事業所は独自に方法論を模索して来た。その結果、危険源の特定に関しては、HAZOP一般に、着目する最終事象の引金になる初（Hazard and Operability Studies）に頼るだ

期事象は複数個存在し、対象プラントで発生けでなく、HAZOP では特定できない危険源する可能性のある最終事象も複数個存在する

4）で、かつ、事故原因の90％以上を占める “漏ので、対象プラントにおける事象の進展を表洩” の特定に努力が注がれるようになるとい現する多重防御層は、図3のような構造にう望ましい状態になった。

なる。

しかし、最終事象の発生頻度の推算に関し

図2に示した概念図では、第3層が第2層をて は、LOPA（Layer of Protection Analysis）バックアップするように描いてあるが、第2が与える初期事象の発生頻度の数値、および、層が第3層をバックアップするように設計さ防御層の失敗確率の数値を用いる事業所が、れている場合もあるので、図3では、第2層未だに多数存在するという残念な状態にある。と第3層に順序を付けずに1つのボックスの

本稿では、プラントの機能設計終了時のリ中に示した。また、リスクアセスメントでは、スクアセスメントと供用状態にあるプラント第4層の効果を評価しないので、第4層は省のリスクアセスメントの目的の相異を示し、略した。

後者において、LOPA の与える数値を用いる

多重防御層を利用すると、確率論に従って、ことが誤りである理由を説明し、さらに、後着目する最終事象の発生頻度 sk は、式（1）者において使用すべき決定論的アプローチをによって与えられる。

紹介する。
162に示す。

図1

リスクアセスメントの手順[Ⅰ]対象プラントで発生する可能性のある初期事象の列挙[Ⅱ]全ての初期事象について以下の作業を行う(1) 初期事象から最悪のシナリオに従って到達する最終事象の特定(2) 最終事象の影響度の評価(3) 初期事象と最終事象の間にある防御層の特定(4) 初期事象の発生頻度と各防御層の失敗確率の評価(5) 最終事象の発生頻度の評価(6) 最終事象のリスクの評価
図2

多重防御層の概念図

基盤層発生源
工場外部外
乱接続する
他プラント
防誤操
止作

人

設 備誤操
作

故
障
防止

故
障

防誤作
止動

誤作動

sk ＝ Σ［（Σ f i p i）
q j r j］
j∈Jk i∈Ij

初期
事
象

第１層第２
層

外乱防御

オ
オ
ペ
ペ
レ
レ
タ
タにによよる
る
異
異
常常時
時
対
対
応
応
措
措
置
置

影響緩和

フール
プルーフ
機能補正
多重化
自動切替多重化（1）

ここで、f i は初期事象 i の発生頻度、p i は第1層 i の失敗確率、q j は第2層 j の失敗確率、

異
常状
態

最悪の最終
事
象

第３層

保安

事故

設
備

第４層損
害の極
小化の失敗確率を1と定義する。

3．機能設計終了時のリスク
アセスメントrj は第3層 j の失敗確率、Ij は異常状態 j の原因となる初期事象の添字の集合、Jk は最終事

プラントのライフサイクルは、設計、製作、象 k に到達し得る異常状態の添字の集合であ建設、供用、廃棄の5つのフェーズに分割さる。また、存在しない防御層については、それる。設計のフェーズは、さらに、機能設計
SE 210 March 2023 17

図3

多重防御層の一般的構造

3
初期事象１

第１層１

初期事象２

第１層２

初期事象３

第１層３

初期事象４

第１層４

初期事象５

第１層５

初期事象６

第１層６

初期事象７

第１層７

初期事象８

第１層８

異常状態１

第２層１
第３層１

異常状態２

第２層２
第３層２

異常状態３

第２層３
第３層３

異常状態４

第２層４
第３層４

最終事象１

最終事象２

･･･

･･･

･･･

第１層ｍ

異常状態ｎ

第２層ｎ
第３層ｎ

･･･

･･･
初期事象ｍ

最終事象ｗと詳細設計とに分割される。機能設計とは、スメントは、HAZOP、LOPA 等の方法論ととプラントを構成する各アイテムの機能と容量もに確立されている。

を決定し、アイテム間の結合状態を P&ID（Piping and Instrumentation Diagram）として表現するフェーズである。

4．供用状態におけるリスクアセスメント

機能設計終了時に、機能設計の保安上の弱点（防御層の不足）を探索するためにリスク供用状態におけるリスクアセスメントは、アセスメントが行われる。その手順は図1に供用状態（運転、検査、4M ※1条件の変更、示したとおりであり、手順［Ⅰ］については、補修・改善工事等）の保安上の弱点と、設計、HAZOP と呼ばれる手法が実用化されている。

製作、建設から受継いだ保安上の弱点を探索

また、手順（4）においては、初期事象のするために行われる。確率論的アプローチに発生頻度と防御層の失敗確率の数値が必要によれば、詳細設計、製作、建設、供用の保安なるが、ベンダーが提供する故障確率や、上の弱点は、初期事象の発生頻度の増大、防AIChE/CCPS（ 米 国 化 学 工 学 会、AIChE：御層の失敗確率の増大として顕在化すること

American Institute of Chemical Engineers/化になるので、次に示す2つの難問に遭遇する。

学プロセス安全センター CCPS：Center for※1
4M
4Mとは、物事をMan（人）、Machine（機械）、Material（材料）、Method（方法）の4つの要素で考える手法

18

【難問1】

Chemical Process Safety）が推奨する LOPA

影響度の大きな最終事象（事故）のによって与えられる数値を用いる。LOPA は、リスクが許容できることを示すために対象プラントに類似の健全なプラントにおけは、対象プラントでは発生したことがる実績等から、初期事象の発生頻度と防御層ない初期事象の発生頻度の数値、およの失敗確率の数値を推算する方法論である。

び、失敗したことがない防御層の失敗

以上のように、機能設計終了時のリスクアセ確率の数値を求めて、それらが極めて小さいことを示さなければならない。
【難問2】
リスク低減活動の効果は、初期事象の発生頻度の低下、あるいは、防御層初期事象が発生しないための条件が満足されていることを表し、防御層の失敗確率0は防御層が失敗しないための条件が満足されていることを表す。の失敗確率の低下として顕在化するは確率論的アプローチで遭遇する難問1は、ずであるから、それらの数値を求めて決定論的アプローチでは、初期事象が発生しリスク低減活動の効果を確かめなけれないための条件が満足されていること、およばならない。

び、防御層が失敗しないための条件を満足さ難問1に対して、多くの事業所で採用されれていることを示すことで解決できる。ている誤った解決法は、初期事象の発生頻度

表1と表2のように、初期事象の発生頻度と防御層の失敗確率の数値として、LOPA がと防御層の失敗確率を定義すると、最終事象与える数値を用いることである。LOPA が与の発生頻度 sk は式（2）で与えられる。使用える数値は、健全なプラントの実績等から推した記号の意味は、式（1）と同様である。

算した数値であるので、それらを用いてリス

ただし、防御層が存在しない場合には、それクアセスメントを行っても、機能設計の保安の失敗確率を3と定義する。

上の弱点（防御層の不足）しか見付けることができない。

sk＝Max［Min｛Max Min（f i, p i）,q j, r j｝］（2）j∈Jki∈Ij

詳細設計、製作、建設、供用に保安上の弱式（2）によって得られた最終事象の発生点があれば、初期事象の発生頻度、および、頻度の意味は、表1に示した初期事象の発生防御層の失敗確率が増大するはずであるか頻度の定義と全く同じである。

ら、LOPA の与える数値で代用できるはずがない。

5．決定論的アプローチ

最終事象の重要度の分類とリスクレベルの分類は、企業、事業所、対象プラントによって異なる可能性があるが、ここでは、重要度

表１

初期事象の発生頻度の定義できる化学・物理的知識、および、標準化さ発生頻度定れた技術的知見（規格、技術標準等）によっ3発生したことがあり、復元しただけで再発防止策は未実施

2発生したことがあり、再発防止策は実施したが再発しないという保証がない

1

発生したことはないが、発生しないという保証がない

0

次回定期修理まで、発生しないという保証がある

難問1と難問2を解決するために、現在利用て導かれた “初期事象が発生しないための条件”、および、“防御層が失敗しないための条件” を基にした決定論的アプローチを採用する。
決定論的アプローチでは、初期事象の発生

表2

頻度、および、防御層の失敗確率を表1、お発生頻度よび、表2のように定義する。発生頻度1〜3、

義

防御層の失敗確率の定義

定

義

3

失敗したことがあり，復元しただけで再発防止策は未実施

2

失敗したことがあり，再発防止策は実施したが再発しないという保証がない，あるいは，作動したことがない

よび、着目する防御層の実績から決定するこ

1

作動したことがあり，失敗したことはないが，失敗しないという保証がないとができる。また、初期事象の発生頻度0は、

0

次回定期修理まで，失敗しないという保証がある

および、失敗確率1〜3については、対象プラントにおける着目する初期事象の実績、おSE 210 March 2023 19

については5段階、リスクレベルについてはべ、後者に対して LOPA により与えられる初4段階に分類した例を、それぞれ、表3と表4期事象の発生頻度の数値、および、防御層のに示す。また、最終事象の発生頻度、重要度、失敗確率の数値を用いることが誤りであるこ

リスクレベルの関係を表すリスクマトリックとを説明した。
また、後者については、確率論的アプロースの例を表5に示す。
リスクの低減活動は、初期事象が発生しなチではなく、決定論的アプローチを採用すべいための条件を満足させる活動か、防御層がきであることを示し、その手続の概略につい失敗しないための条件を満足させる活動であて紹介した。

り、その効果は、式（2）に代入するだけで決定論的アプローチの基盤となるのは、“初確認できる。このようにして、決定論的アプ期事象が発生しないための条件” と “防御層ローチを用いれば、難問2も解決できる。

が失敗しないための条件” である。これらの条件を探索することは、安全工学の重要な役6．まとめ割の1つであると考える。

プラントの機能設計終了時に行われるリスクアセスメントと供用状態にあるプラントのリスクアセスメントの目的の相異について述

表3

最終事象の影響度の分類の例

影響度

定

A

死亡者発生

B

事故であり、死亡者は発生しないが、人的・物的損害発生

C

法的には事故であるが、人的損害が無く、物的損害も軽微

D

法的には事故ではないが、生産性、品質に関する損害発生

E

法的には事故ではなく、生産性、品質に関する損害も軽微

表4

リスクレベルの分類の例

リスク
レベル

定

義

Ⅳ

直ちに操業を停止すべきである

Ⅲ

許容できないので、次の機会に必ずリスク低減策を実施すべきであるⅡ

暫定的には許容できるが、出来るだけ早く、リスク低減策を立案して実施すべきである

Ⅰ

永続的に許容できる表5

リスクマトリックスの例

大小発生頻度20

義参考文献 1） 竹田裕二：第二塩化ビニルモノマー製造施設爆発火災事故とその後の取組み，高圧ガス，55（4），342-347，2018.
2） 穂坂真吾：レゾルシン製造装置の爆発火災事故，高圧ガス，55（3），233-237，2018.
3） 田邊弘彦：アクリル酸製造施設の爆発・火災事故とその後の取組み，高圧ガス，55（11），1155-1160，2018.
4） 小作幸生ら：高圧ガス事故の統計と解析（コンビナート等保安規則適用事業所），高圧ガス，59（11），850-854，2022.
5） 松山久義：石油化学・石油精製のための TPM 活動（3）－安全衛生環境活動の補強（1），日本設備管理学会誌，
33（1），29-36，2021.

3
2
10E
Ⅰ
Ⅰ
ⅠⅠ

小D
Ⅱ
Ⅱ
Ⅰ
Ⅰ

影響度C
Ⅲ
Ⅱ
Ⅱ
Ⅰ

大B
Ⅳ
Ⅳ
ⅡⅠAⅣ
ⅣⅢⅠ

まつやまひさよし 

1968年東京大学工学系研究科博士課程単位取得退学。同大学
工学部助手、同講師、九州大学工学部助教授、同教授を経て、早稲田大学情報生産システム研究科教授を2010年定年退職。
2009年〜2011年日本設備管理学会会長。1992年より高圧ガス認定検査実施者調査委員。専門分野：プロセスシステム工学