事故前、工場の安全余裕はどう失われたのか｜保守・安全設備・過去の漏洩を追う

1984年12月3日午前0時15分ごろ。

ボパール工場の制御室で、MIC貯蔵タンクTank 610の圧力が急激に上昇していることが確認された。

制御室の圧力計は25～30 psig付近を示した。

さらに現場側の温度・圧力計では、表示が測定範囲を超えていた。

そのころには、すでにタンク内部で通常ではない反応が進行していた。

本来なら、異常が一つ発生しても、それだけで都市へ大量の有毒ガスが放出される設計にはしない。

化学プラントでは、

温度管理
→ 圧力・温度監視
→ タンク封じ込め
→ 排ガス処理
→ 緊急処理
→ 警報・退避

といった複数の防護層で事故の拡大を止める。

しかしボパールでは、その夜、異常を止めるはずだった複数の設備が十分な機能を発揮できなかった。

しかも問題は、1984年12月2日の夜に突然始まったわけではない。

事故以前にも漏洩事故が発生し、1982年にはUnion Carbide自身による安全調査も行われていた。

今回は、

「なぜTank 610の異常が、そこで止まらなかったのか」

という視点から、事故前の安全余裕を追う。

先に結論｜ボパールには安全設備が「なかった」のではない

ボパール事故について、

「危険な工場なのに安全装置がなかった」

と説明されることがある。

これは正確ではない。

第2回で見たとおり、MIC貯蔵設備には複数の安全機能が設けられていた。

したがってボパールで問うべきなのは、

「安全設備が存在したか」ではなく、「事故時に利用可能な状態で、必要な性能を発揮できたか」

である。

設備図に描かれている防護層と、実際に働く防護層は同じではない。

第1防護層｜MICは本来0℃付近で管理する設計だった

最初に見るべきなのが冷却である。

ICMRの技術報告によれば、3基のMIC貯蔵タンクの内容物は熱交換器へ循環され、冷凍設備によって0℃に維持する設計だった。

なぜ冷やす必要があるのか。

MICは反応性が高く、水などの物質と反応すると発熱する。

一般に化学反応は温度が高くなるほど速くなる。

そのため低温管理は、単なる品質管理ではなく、

異常反応が起きた場合の進行速度を抑える安全余裕

としても意味を持つ。

ところがICMRの後年の技術報告は、事故の約6か月前に冷凍設備が外されていたことを問題として挙げている。

Tank 610のMICは、設計上想定された0℃ではなく、周囲温度に近い条件で長期間保管されていたと同報告は整理している。

第2防護層｜タンク内部を窒素で管理する設計

MICタンクは、高純度窒素の雰囲気下で加圧して保管する設計だった。

化学設備で窒素を使う目的には、空気や水分など不要な物質の侵入を抑え、タンク内部を安定した状態に維持することが含まれる。

つまりMIC貯蔵設備では、

外部から何かが入ってくること自体を防ぐ

ことも重要な防護層だった。

事故時にTank 610へ水がどの経路から入ったのかについては、後に複数の説明が提示された。

そのため本記事では、窒素系統の状態だけから水の侵入経路を断定しない。

ここで確認しておくべきなのは、

MICタンクは、本来外部環境から切り離して管理することを前提とした設備だった

という点である。

水が実際にどの経路からTank 610へ侵入した可能性があるのかは、第4回で配管系統とともに追う。

第3防護層｜異常を最初に知らせる計器

化学プラントの異常は、人間がタンクの中を見ることで発見するものではない。

温度、圧力、液位、流量などの計器から内部状態を推測する。

Tank 610にも温度・圧力などを監視する設備が存在した。

ICMRによれば、事故当夜午前0時15分ごろ、制御室のTank 610圧力表示は25～30 psig付近まで上昇していた。

さらに午前0時15分から0時30分の間には、現場側の計器で温度が+25℃、圧力が55 psigという測定範囲を超える状態になっていた。

これは、その時点ではタンク内部の異常がすでに非常に大きくなっていたことを示す。

計器の役割は、

「事故が起きたことを確認する」ことではなく、「事故になる前の異常を検知する」こと

にある。

後年のICMR報告は、事故に至る防護層の問題として、監視装置やバルブ類も十分に機能しなかったと整理している。

つまり重要なのは、計器が存在したかどうかだけではない。

異常を早い段階で検出し、その情報を使って人間が介入できる状態だったか

である。

第4防護層｜Vent Gas Scrubberは何をする設備だったのか

タンク内部で圧力が上昇し、ガスが貯蔵系の外へ出ようとした場合、そのまま大気へ放出する前に処理する設備が必要になる。

その一つがVent Gas Scrubber（VGS）だった。

ICMRによれば、VGSはMIC設備と貯蔵設備から排出される有毒ガスを中和する目的で設置されていた。

基本的な考え方は、ガスを苛性ソーダ溶液と接触させ、化学的に処理することである。

これはTank 610から見れば、

タンクで異常を止められなかった場合の、次の防護層

だった。

しかしICMRの事故記録には、事故当夜、ガス漏洩が確認された時点で

VGSに苛性ソーダ溶液の循環がなかった

と記載されている。

後年の同報告の考察部分では、スクラバーが使用可能な状態ではなかったことも、安全対策上の問題として挙げられている。

つまり異常がTank 610の外へ進んだ時点で、そこから先の除害機能にも問題があった。

第5防護層｜フレアタワーも「最後の出口」の一つだった

化学プラントでは、通常工程で処理できない可燃性・危険性のあるガスを燃焼させて処理するため、フレア設備が使われることがある。

ボパールにもフレア系統があった。

事故後のICMR報告は、事故時に十分に機能しなかった安全設備として、

• バルブ
• 監視装置
• フレアタワー
• スクラバー
• 水噴霧設備

を挙げている。

ここでも、

「フレアタワーが一つ壊れていたから事故になった」

と理解するべきではない。

Tank 610に異常が発生した後、

封じ込める
↓
中和する
↓
燃焼処理する
↓
漏洩したガスへ緊急対応する

という複数段階で事故を止める余地があった。

ボパールでは、その複数段階が十分な防護にならなかったことが問題なのである。

第6防護層｜水を噴射しても、放出口まで届かなかった

ガスが工場外へ出始めたあと、現場では水を使った対応も行われた。

ICMRによれば、午前1時ごろからMIC設備に向けて水が噴射された。

しかし、その水は

ガスが出ていたスタック上部まで届かなかった

とされている。

これは事故対応設備の考え方を理解するうえで重要である。

水噴霧設備が存在することと、

実際の漏洩位置・高さ・流量に対して有効であること

は別問題である。

事故時に必要なのは設備台帳上の「有・無」ではない。

想定した事故条件に対して、本当に到達し、本当に処理できるか

という能力である。

安全防護を並べると、事故の構造が見えてくる

ここまでを、Tank 610から外側へ並べてみる。

一つだけなら、

「故障」

と呼べるかもしれない。

しかし複数の防護が同時に事故の進展を止められなくなると、結果は変わる。

それがボパール事故をシステムとして見る理由である。

事故の2年前、Union Carbide自身が安全調査を行っていた

さらに重要なのは、事故以前に安全上の問題がまったく認識されていなかったわけではないことである。

1982年5月、Union Carbide Corporationの担当者によって、ボパール工場のCO、MIC、Sevin設備を対象とするOperational Safety Surveyが行われた。

現在公開されている同年9月27日付の最終報告書は、MICやホスゲンを扱う設備を含め、

有毒物質の放出リスクや運転・保守上の問題

を検討した企業内部資料だった。

一方で、この調査を

「1982年の時点で会社が1984年の大事故を予言していた」

と表現するのも正確ではない。

当時の報道で公開された同調査の説明では、調査側は重大な懸念事項を指摘する一方、調査時点で

「即時是正を必要とする差し迫った危険は確認しなかった」

という趣旨の評価も付けていた。

その後、UCIL側では改善計画が作成され、対応状況も報告された。

したがって問題は、

「警告が一度出たのに誰も何もしなかった」

という単純な構図ではない。

より重要なのは、

問題が認識され、是正措置も計画されたにもかかわらず、1984年12月には複数の安全防護が有効な状態ではなかった

という結果である。

事故前にもガス漏洩は起きていた

事故以前の履歴も、1984年12月を完全な突発事故として見ることを難しくする。

ICMRの長期報告は、ボパール工場では少なくとも

• 1982年10月
• 1982年12月
• 1983年2月

の3回、ガス漏洩事故が起きていたと記録している。

さらに、1981年にはホスゲン曝露によって工場従業員が死亡した事故も、当時のインド側調査や報道で確認されている。

もちろん、これらの事故と1984年のTank 610事故は規模も発生メカニズムも同じではない。

過去に漏洩事故があったから、

「1984年事故も必ず起きるはずだった」

とは言えない。

しかし安全工学上、漏洩や設備異常は

「実際に起きた小さな失敗」

である。

そこから、

• どこから漏れたのか
• なぜ止められなかったのか
• 計器は役に立ったのか
• 作業手順は適切だったのか
• 同じ経路でより大きな事故が起き得ないか

を検証することが、大事故を防ぐ防護層になる。

「前兆があった」という言葉にも注意が必要

ボパール事故を振り返る記事では、

「数々の警告は無視された」

という表現がよく使われる。

確かに、事故前の漏洩、安全調査、設備上の問題という記録は存在する。

ただし後から重大事故を知った状態では、過去のすべての出来事が「事故の前兆」に見えやすい。

これは事故分析で注意すべき後知恵バイアスでもある。

1982年の小規模漏洩を見た人が、その場で

「2年後にTank 610から数十トン規模の有毒ガスが放出される」

と具体的に予測できたわけではない。

一方で、

危険物を扱う設備で漏洩が繰り返され、安全調査でも運転・保守上の問題が指摘されていた

ことは、リスク管理上無視できない事実である。

したがって本シリーズでは、

「事故は予言されていた」

とも、

「完全に予測不能だった」

とも書かない。

より正確なのは、

事故につながり得る脆弱性は以前から存在し、その一部は認識されていた

という整理である。

なぜ「安全装置が3つあれば安全」とは言えないのか

ボパール事故から見えるのは、防護層の数だけでは安全性を評価できないということでもある。

たとえば、

冷却装置あり
スクラバーあり
フレアあり

という設備一覧だけを見れば、多重安全に見える。

しかし実際には、

• 運転しているか
• 保守されているか
• 必要容量を持っているか
• 異常時に自動で働くか
• 人が即座に起動できるか
• 事故条件に対して物理的に届くか

まで確認しなければ、防護層として評価できない。

制御システムで言えば、

インターロックのプログラムが存在していても、

センサが正しく測定できず、アクチュエータが動かず、保守バイパス状態のままなら、

実運用上の安全機能は成立しない。

ボパールでも見るべきなのは同じである。

設計図ではなく、1984年12月2日のAs-operated condition――実際の運転状態である。

それでも、まだ「事故が始まった理由」は説明していない

ここまでを見ると、

冷却設備、監視、VGS、フレア、水噴霧など、事故拡大を止める防護層に複数の問題があったことが分かる。

しかし、これだけではTank 610内部の暴走反応は始まらない。

冷却装置を止めただけで、突然40トンのMICが激しく反応するわけではない。

スクラバーが使えなかったことも、Tank 610内部で反応を開始させる原因ではない。

ここで、

事故の「開始」と「拡大」を分離する必要がある。

今回見てきたのは、主に2段目と3段目である。

次に見るべきなのは、一番上だ。

まとめ｜事故前に失われていたのは、一つの装置ではなく「余裕」だった

ボパール工場には、安全設備が存在していた。

MICは本来0℃付近で管理され、高純度窒素下で貯蔵され、温度や圧力を監視する。

異常なガスが出ればVent Gas Scrubberで処理し、さらにフレアなどの安全設備が存在した。

漏洩後には水を使う緊急対応設備もあった。

しかし1984年12月の事故時には、その複数の防護層が十分な役割を果たせなかった。

ICMRは、冷凍設備、監視装置、バルブ、スクラバー、フレア、水噴霧などの問題を事故拡大の重要な要素として挙げている。

さらに事故以前には複数のガス漏洩があり、1982年にはUnion Carbide自身による安全調査も行われていた。

ボパールで失われていたものを一つ選ぶなら、

「最後の一線」ではなく、異常が重大事故へ進むまでに残されている複数の安全余裕

だったと言える。

ただし、まだ一番重要な疑問が残っている。

安全設備が弱くなっていても、何も起きなければTank 610はそのままだった。

では、1984年12月2日の夜。

Tank 610の内部に何が入り、何が反応し、なぜ温度と圧力は制御不能な速度で上昇したのか。

次回は、事故の中心へ入る。

出典・参考資料

• Indian Council of Medical Research (ICMR) /
  Bhopal Gas Disaster Research Centre,
  “Health Effects of the Toxic Gas Leak from the Union Carbide Methyl Isocyanate Plant in Bhopal:
  Technical Report on Population Based Long Term Epidemiological Studies (1985–1994)”
• S. Varadarajan, L. K. Doraiswamy, N. R. Ayyangar, C. S. P. Iyer, A. A. Khan,
  “Report on Scientific Studies on the Factors Related to Bhopal Toxic Gas Leakage”, 1985
• Union Carbide Corporation,
  “Final Report of the Operational Safety Survey Performed During May 1982”,
  27 September 1982
• Union Carbide India Limited,
  “Action Plan – Operational Safety Survey, May 1982”

資料上の注意：
本記事は、事故前に複数の安全設備・保守上の問題が存在したことと、
Tank 610で暴走反応が始まった直接原因を分離して扱っている。
冷凍設備停止、VGS、フレア、監視設備等は「暴走反応を開始させた単独原因」とは位置づけない。
また、1982年UCC安全調査についても「1984年事故を具体的に予言した資料」とは扱わず、
当時確認されていた運転・保守上のリスクを示す資料として使用する。
水がTank 610へ侵入した具体的経路および破壊工作説については、
第4回・第7回で資料差を分離して検証する。