ハイボールと、本質的安全設計の教え

『本質的安全設計』という言葉を聞いたことがあるだろうか。世間ではよく安全とか安心とかいったことを話題にするが、安全の意味をつきつめて考えている人は、必ずしも多くない。本質的な安全設計とは、われわれがモノや仕組み（システム）を作る上で、欠くことのできない概念である。今日はこれについて少し述べてみたい。

機械の安全設計については、そのものずばり「機械類の安全性―基本概念，設計のための一般原則」という名前の国際規格 ISO12100 が存在する。このISO規格によれば、機械類の安全は、『設計者対応』と『操作者対応』に分けられる。つまり、作る側による配慮と、使う側（消費者・操作者）による注意の、両方がいるというわけだ。ここまではいいだろう。

では、肝心の作る側（設計者）の対応は、どのように行うべきか。ISO12100は、
（１）本質的安全設計によるリスクの低減
（２）安全防護によるリスクの低減
（３）使用上の情報によるリスクの低減
という順番で行うべきだ、と述べる。



三番目の、「使用上の情報によるリスクの低減」の意味は、分かると思う。マニュアルにきちんと書きなさい、いろいろなチャネルや手段で使用者に注意をうながしなさい、という訳だ。おかげで最近はちょっとした道具を買うと、マニュアルの前半分くらいは「使用上の注意！」ばかりがずっと並ぶことになる。だが、まあこれが必要なのは明らかである。

（２）の安全防護も、まあ分かりやすい。危ないところには柵や手すりをつけ、高温になりやすいところは断熱材で防護する、といったガードをおく。あるいは、自動車ならエアバッグのような保護装置をつける工夫である。これにより、緊急事態発生時に、使用者に無用な危険が及ぶのを防ぐのである。

ところが、最初の（１）本質的安全設計、という言葉が分かりにくい。本質安全とは何だ？　保護装置やガードをつける設計とどこが違うのか？

（財）機械振興協会の技術研究所のホームページでは、本質的安全設計方策には四つの柱が書かれている。「危険除去設計」「フールプルーフ」「フェールセーフ」「冗長設計」の四つである。これを、わたしなりに敷衍して説明すると、次のようになる。

(a) 危険除去設計：
根本的に危険をのぞく設計である。
　例：「鋭利な端部、角、突起物をさける」「毒性物質を使わない」

(b) フールプルーフ：
人間はミスを犯すものだと考え、使用者がまちがった使い方ができないようにする設計である。工場などではよく“ポカよけ”などとも呼ばれる。
　例：「正しい向きにしか入らない電池 ボックス」「ドアを閉めなければ加熱できない電子レンジ」

(c) フェールセーフ：
使用者がまちがった使い方をしたり、故障がおきても危険を避けることができる設計である
　例：「列車の空気ブレーキは圧力が漏れると停止する」「電気ポットのコードに誤って触れても簡単に外れる」

(d) 冗長設計：
最低限必要な量より多めに装置を用意しておき、1つの装置が故障しても機能が失われない設計である。
　例：「WEBサーバを2台用意し、片方のサーバが故障しても他方のサーバで対応する」

つまり、安全防護（ガード）や付加的保護装置などが必要ないように設計することを、本質的安全設計と呼ぶのである。元々、安全にしか働かないような仕組み。たしかに、そのように設計できれば一番良いし、余分な付加保護をつける事に比べれば、コストセーブにもつながろう。いや、コストについては状況により一概には言えないかもしれないが、だからこそISOでは最初のステップで本質的安全設計を優先的に行え、と規定しているのだ。結局ちょっとした目先のコストを惜しんで、事故につながったのでは元も子もないからである。

ところで。上のような説明を聞いても、まだ“本質的に安全な設計”とは何か、誤解するケースがある。たとえば、「地震などで転倒したら、自動的に消火する石油ストーブ」という製品は、本質的安全設計に従っていると言えるだろうか？

耐震自動消火装置のある石油ストーブは、このごろは珍しくない。ところで昨年だったと思うが、ある輸入品の廉価な石油ストーブが、転倒しても消火装置がうまく働かないと分かり、回収騒ぎになったことがある。ちなみに製造元は韓国のメーカーだったが、昨今ネットには韓国嫌いの人が多いため、ネットではもっと「炎上」する騒動になった（さすがストーブである・・というのは冗談だが）。

この製品は、自動消火装置はついていた。だが、ちゃんと機能しなかった。倒れたら、ちっとも安全ではない。つまり、これは「付加的防護装置による対策」であって、「本質的安全設計」にはなっていないのだ。防護装置だって、壊れることがある。防護装置が壊れたら危険状態になる、というのは本質安全とは言えないのである。


じつは、わたしがこのような本質的安全設計の考え方を知ったのは、はずかしながら比較的最近のことである。教えてくれたのはわたしの元・上司の上司だった新谷正法氏だった。わたしの勤務先・日揮株式会社では、社内の大きな会議やミーティングでは、最初に5分間だけ使って、健康・安全・環境に関するトピックを紹介し、参加者みなの意識を高めるという習慣がある。これを、健康（Health）・安全（Safety）・環境（Environment）の頭文字をとって、HSEモーメントと呼ぶ。欧米の企業などでも、HSEモーメントを実施して、社内の意識を高める運動をしているところは多い。

そして、数年前のある時、社内の幹部クラスが集まる会議で、新谷氏（当時は副社長）が「ハイボールと本質的安全設計について」という話をされたのである。ハイボールは、ご承知のとおりウィスキーを炭酸水で割った飲み物だ。ところが、英語の辞書を引くと、ソーダわりのお酒という意味以外に、「（列車に対する）全速力で進めの信号」、さらに転じて「急行列車」の意味がある、と書いてあるという。

「ハイボール」という飲み物の語源は、（諸説あるが）鉄道に於けるボール信号機に由来する、と新谷氏は紹介された。現代では鉄道の信号機はすべて電気式だが、かつて英国で初期の鉄道ではボール信号機（BALL SIGNAL）が使われていた。これは駅構内に設置され、駅員がボールを上げた時（ハイボール）構内は安全なので侵入して良いという合図となり、これを見て列車が入線した。

さて、昔ののんびりした時代のこと。乗客は駅の待合室でウイスキーをちびちびやりながら列車を待っている。ところが、ボールが上ってハイボールになると、列車が入ってくるのでホームに急がなければならない。残ったウイスキーを一気にあけるのは身体に良くないので、そばにあったソーダ水で割ってグーッと飲んでホームへ急いだ・・。これが、ウイスキーのソーダ割りがハイボールと呼ばれるようになった由来なのだそうである。



さて、このボール信号機をよく見てほしい。紐を引いてボールを高く上げた状態（ハイボール状態）を安全確認に対応させている。もし何等かの不具合（紐が切れたり、駅員に問題が生じたり）があれば、ボールは落下し安全信号は出ない。つまり、故障は必ず安全側故障となる。

したがって、これは単純であるが本質的安全設計の良い例と言える、というのが新谷氏の説明であった。安全装置には、安全確認型と危険検出型があるが、両者を比べると安全確認型が望ましい。また、安全信号はエネルギーの高い（維持の必要な）状態に対応していること。これがポイントである。われわれがプラントを設計する際にも、必ずフェイルセーフのモードを考えて設計すべし。それがひいては事故の減少につながる－－そういう思想が、この話に表されている。

さて、この話を披露された故・新谷正法氏は、今から1年前、2013年1月に、アルジェリアのイナメナス建設現場出張中に襲撃事件にあい、不幸にも、他の先輩同僚諸兄とともに命を落とされた。新谷氏は仕事に厳しい方で、わたしも何度怒られたか分からないが、しかし最終的には部下には優しく、個人的にもずいぶんとお世話になった。頭脳明晰で数字に明るく、責任感も強く、どんな困難な仕事、危険な現場でも率先して乗り込み、人を采配される優れたプロジェクト・マネージャーだった。

アルジェリア襲撃事件で新谷氏の安否確認だけが遅れたときも、わたしは“新谷さんのことだから、なんとかしぶとく生還されるのではないか”と祈っていた。最後にたった一人だけ、政府特別機で運ばれ沈黙の帰還をされたとき、「主人は責任感で、自分が一番最後に帰ってきたのだと思います。」と、夫人は言われた。

新谷氏をはじめ、亡くなられた他の先輩同僚諸兄もみな、中東北アフリカのイスラム諸国で長らく働き、その地域の発展に尽くして来られたのに、なぜあのように理不尽な暴力を受け命を失わなければならなかったのか。思い出すたびに、胸の中で怒りとやり切れなさが渦巻く。われわれ日揮では先週、一周忌に職場で黙祷を捧げ、社旗を半旗に掲げて追悼の意を表した。

新谷氏は安全についても人一倍意識の高い方で、上のボール信号機の図も説明文も、氏の発表資料から勝手ながら引用させていただいた。この稿で、微力ながら故人の遺徳をたたえるとともに、亡くなられた方々のご冥福をお祈りする次第である。