人間行動と機器故障を考慮したシステム信頼性解析
− GO-FLOW手法によるアプローチ −

解析対象システム 　ホールド・アップタンクと運転員より構成されたシステム(1)を解析対象として取り上げた。システムはポンプ部分、水位計部分、弁部分及び運転員から構成されている。 　ポンプの動作状態は自動運転か停止かを運転員により設定できる。タンクへの流入流量は0,1,2m/tpのいずれかとなり得る。（m/tpとは単位時間にタンク水位が1m増加/減少する流量を意味する。）自動運転の時はタンク水位を−１m〜+1mの範囲を保つ様に制御される。運転員はポンプ入り口配管部でおおよその流量を観察できるものとする。ポンプの故障モードとしては"停止"と"流量2m/tp固定"の二種類を取り上げる。 　水位計は−3m〜＋3mの７段階の指示値を示す。水位が−1m〜＋1mの指示値のときは正常範囲にあるとし、−2m以下及び＋2m以上の時は警報が鳴る。警報が鳴った時は運転員は水位が高いか低いかを水位計の指示をみて判断する。水位計の故障モードとしては"水位指示高（＋警報）"と"水位指示低（＋警報）"、つまり実際の水位は正常であるにもかかわらず、故障により水位異常の指示を出す故障モードを取り上げる。 　弁は電磁弁であり、開／閉の信号により弁が開／閉状態になる。弁を通過する流量は1m/tpとする。もちろん、閉状態の時の通過流量は0m/tpである。運転員は弁の出口配管部でおおよその流量を観察できるものとする。弁の故障モードとしては"固着"を取り上げる。つまり開／閉状態を変更できないという故障モードである。 　初期状態においては水位は0m、ポンプ流量1m/tp、弁開状態で全ての機器が正常に動作しているとする。システム不具合の発端となる事象（起因事象）として"ポンプ故障：流量0m/tp"と"ポンプ故障：流量2m/tp固着"の２種類を考える。これらの起因事象の後、警報が鳴り、運転員が何らかの対処をとることになる。ポンプ流量2m/tp固着の場合は電源を切ることによりポンプは停止できるとする。弁は固着してしまった場合は現状を変更できない。また正常の場合は開閉指令に対して100％の動作成功確率を持つとする。時間経過とともにシステムのとり得る状態とその発生確率を求める事が本解析の目標となる。

・運転員の対応操作

表7.1　運転員の対応操作(1)

　本解析で取り上げた起因事象に対して、運転員が各機器の状態をどの様に認識し、その結果システムに起こっている事態をどう判断して対応操作として何を選択するかを、全ての場合について検討した。その一例を上の表に示す。
　表中で、例えば運転員の認識した状態が（ポンプ流量：０、水位計：高、弁：開）の場合、運転員の判断としては「何らかの理由で水位が高になりその結果警報が鳴っているが、自動制御でポンプが一時的に停止して弁は開状態に保たれている。このまま放置しておけば水位が下がり、ポンプは再起動され定常状態が保たれる。」となり、対応操作は何もしない事となる。ただし、ポンプ入り口部の配管、弁出口部の配管で実際の流れの状態を観察できるため、ポンプ流量、弁の開閉状態を実際と異なって認識する確率（誤認識確率）は小である。また、タンクは金属製不透明であり実際の水位は観察できないとして、水位計の指示値のみに頼るとした。
　表中グレー色部分の欄は運転員が正しく判断し、正しい対応操作をとった場合である。

・GO-FLOWチャートへのモデル化（機器故障に関する部分）
　機器故障に起因する機械システム部分及び、起因事象の同定に関する部分をモデル化したのが下図です。

・GO-FLOWチャートへのモデル化（システム状態判断の部分）

　機器故障が発生した時の運転員の行動をモデル化すると、認識･判断、操作、システム状態判定　の各部分にわかれ、機械部品の故障に関するGO-FLOWチャートは小さいが、人間の行動に関する部分はシステム状態に対応して種々の対策をとるのでチャート上でも大きな部分を占めてくる。一例としてシステム状態判断部分を下の図に示す。



・解析結果
　GO-FLOWチャートに故障率、動作確率データを与えれば、後は自動的に解析を実施することができます。解析結果を図7.7に示す。タイム・ポイント１が初期状態で、タイム・ポイント２に起因事象発生があり、その後水位が上昇／下降し、更に認識までの時間遅れ等があるためタイム・ポイント５からシステムの状態判断として意味のある値が与えられている。結果が判り易い様に故障率、人間操作過誤率等は比較的大きな値を与えてあります。時間経過とともにシステムの正常運転状態の確率は下がっていき、"運転停止"、"Dry Out"、"Overflow"とも時間経過とともに発生確率が増加しています。
　運転員が介在せず、機器故障のみで"Dry Out"、"Overflow"状態がどれだけ発生するかを計算した結果が白抜き印で示されています。運転員のバックアップによりそれらが一桁以上減少していることがわかるが、誤判断、誤操作があるためゼロになることはありません。

図7.7　解析結果