資料２－２

ATENA 20-ME05 Rev.0

原子力発電所におけるデジタル安全保護回路のソフトウェア共通要因故障緩和対策に関する技術要件書

本資料は、2020 年 12 月 24 日に発行した本技術要件書について、2020 年 10 月 6 日開催、第 5 回発電用原子炉施設におけるデジタ
ル安全保護系の共通要因故障対策等に関する検討チーム会合にて提出した「原子力発電所におけるデジタル安全保護回路 のソフトウェア共通要因故障 緩和 対策 に関する技術要件書（案）」からの主要な変更箇所（表現適正化を除く）を朱記したものです。

2020 年 12 月
原子力エネルギー協議会©Atomic Energy Association 2020

【はじめに】国内の原子力発電所においては，設備の信頼性及び保守性の向上を目的として，1980 年
代頃から常用系設備にデジタル計算機を適用してきており，その良好な運転実績を踏まえ，
1990 年代頃からは安全保護回路にもデジタル計算機を適用する事例が増えてきている。デ
ジタル計算機では，設計上の要求機能がソフトウェアによって実現されることから，安全保護回路に適用するソフトウェアの信頼性を確保する取り組みとして，「実用発電用原子炉及びその附属施設の技術基準に関する規則の解釈」にて引用されている日本電気協会「安全保護系へのディジタル計算機の適用に関する規程（JEAC4620-2008）」（以下，「JEAC4620」という。）及び日本電気協会「ディジタル安全保護系の検証及び妥当性確認に関する指針（JEAG4609-2008）」（以下，「JEAG4609」という。）に基づき，ソフトウェアライフサイクル
及び構成管理手法を含めた品質保証活動・検証及び妥当性確認を実施してきた。
これらの活動により，ソフトウェアに起因する共通要因故障（以下，「ソフトウェア CCF」という。CCF；Common Cause Failure）が発生し，多重化されたデジタル安全保護回路の機能が喪失する可能性は十分低く抑えられている。しかしながら，デジタル安全保護回路を設
置した原子力発電事業者（以下，「事業者」という。
）は，深層防護の観点で，より一層の信
頼性向上を図るため，デジタル安全保護回路のソフトウェアを介さずに原子炉停止系統や工学的安全施設を作動できる多様化設備を自主的に設置してきた。
また，令和元年度第 33 回原子力規制委員会（2019 年 10 月 2 日開催）において，「発電用原子炉施設におけるデジタル安全保護系の共通原因故障対策等に関する検討チーム」（以下，「NRA 検討チーム」という。
）が設置され，ソフトウェア CCF 対策の規制化に関する議論が進められてきており，本 NRA 検討チームにおいて，原子力エネルギー協議会（以下，「ATENA」という。
）は，参考書類 1～3 を提示し，原子力規制委員会及び原子力規制庁と議論をしてきている。
ATENA は，NRA 検討チームにおける議論及び国際水準を踏まえ，炉心の著しい損傷防止を重視し，運転時の異常な過渡変化又は事故（以下，「設計基準事故」という。
）とソフトウェ
ア CCF が重畳する可能性は極めて低いものの，ソフトウェア CCF 影響緩和対策として更なる対策を自主的，かつ計画的に行うことを ATENA ステアリング会議（2020 年 1 月開催）※で決定し，各事業者に対策の実施を要求した。
本技術要件書は，事業者が自主的にデジタル安全保護回路のソフトウェア CCF 影響緩和対策を行うにあたり，対策設備である多様化設備への要求事項及びその有効性評価手法を技術要件として示すことを意図して整備したものである。
各事業者は，本技術要件書に示した技術要件に従いソフトウェア CCF 影響緩和対策を自主的に整備する。また，ATENA は，事業者の取り組み状況を確認し，対策の確実な実施をフォローしていく。
さらに，ATENA は，海外動向等も参考にしながら，今後もソフトウェア CCF 影響緩和対策※

ATENA 会員の責任者クラスが委員として参加する会議体をいい，安全対策については，事業者の全会一致を必要としない方式で決定する。

©Atomic Energy Association 2020

の技術検討を継続し，新知見が得られた場合は，本技術要件書を改定する等の必要な対応を行う。
本技術要件書の情報等の取扱いについては，以下のとおりとする。
（免責）
ATENA，ATENA 従業員，会員，支援組織等本技術要件書の作成に関わる関係者（以下，「ATENA関係者」という。）は，本技術要件書の内容について，明示黙示を問わず，情報の完全性及び第三者の知的財産権の非侵害を含め，一切保証しない。ATENA 関係者は，本技術要件書の使用により本技術要件書使用者その他の第三者に生じた一切の損失，損害及び費用についてその責任を負わない。本技術要件書の使用者は，自己の責任において本技術要件書を使用するものとする。
（権利帰属）
本技術要件書の著作権その他の知的財産権（以下，「本件知的財産権」という。）は，ATENAに帰属する。本件知的財産権は，本件技術要件書の使用者に移転せず，また，ATENA の承諾がない限り，本技術要件書の使用者には本件知的財産権に関する何らの権利も付与されない。

©Atomic Energy Association 2020

改定履歴
改定年月
2020 年 12 月 24 日

版
Rev.0

改定内容

備考

新規制定

©Atomic Energy Association 2020

目次
1. 序文
1.1 目的 ................................................................... 1
1.2 概要 ................................................................... 1
1.3 適用範囲................................................................ 2
1.4 用語の定義.............................................................. 2
2. ソフトウェア CCF について
2.1 ソフトウェア CCF 想定の範囲.............................................. 4
2.2 ソフトウェア CCF 発生時の安全保護回路故障モード想定 ...................... 4
3. 多様化設備要件
3.1 設置要求................................................................ 5
3.2 機能要求................................................................ 5
3.3 多様化設備の範囲........................................................ 5
3.4 設計基本方針............................................................ 6
3.5 多様化設備への要求事項.................................................. 6
4. 有効性評価
4.1 有効性評価の目的........................................................ 9
4.2 評価すべき事象.......................................................... 94.3 判断基準................................................................ 9
4.4 解析に当たって考慮すべき事項............................................ 9
5. 手順書の整備と教育及び訓練の実施
5.1 手順書の整備........................................................... 13
5.2 教育及び訓練の実施..................................................... 13
6．対策例 ................................................................... 14
7．参考文献 ................................................................. 15
解説 ........................................................................ 17
添付書類 1 多様化設備例 ..................................................... 32
添付書類 2 有効性評価における評価対象事象のグルーピングの考え方 ............. 35
参考書類 1 第 1 回検討チーム公開会合（2019 年 10 月 30 日開催）資料 ········ 参考- 1
参考書類 2 第 3 回検討チーム公開会合（2019 年 12 月 4 日開催）資料 ········· 参考- 4
参考書類 3 第 4 回検討チーム公開会合（2020 年 1 月 29 日開催）資料 ········· 参考-11©Atomic Energy Association 2020

1. 序文
1.1 目的
本技術要件書の目的は，事業者が自主的にデジタル安全保護回路のソフトウェア CCF 影
響緩和対策を行うにあたり，対策設備である多様化設備への要求事項及び有効性評価手法を技術要件として提示するとともに，手順書の整備及び教育・訓練の実施を要求するものである。
1.2 概要デジタル安全保護回路のハードウェアは，4 区分の検出器，2 out of 4 回路，チャンネル間の独立性確保，運転中の試験可能性，自己診断機能による計算機の異常検知等，ハードウェアに対するランダム故障と共通要因故障に対してその安全機能に相応した十分に高い信頼性を確保してきている。
また，デジタル安全保護回路のソフトウェアについても，一度に一つのタスクのみ実行
するシングルタスク処理を採用するとともに，実行中のタスクを中断する割り込み処理を行わないシンプルなソフトウェア構造の適用，可視化言語の適用により第三者による検証を容易にすること等，設計上の取り組みに加え，品質保証活動・検証及び妥当性確認
により，十分に高い信頼性を確保してきており，ソフトウェア CCF の発生は十分低く抑えられている（参考書類 1 参照）。
しかしながら，特定できない不具合がソフトウェアに内在することを想定した場合に，同一のプラットフォームの使用下においては，ソフトウェア CCF が顕在化することにより，多重化されたデジタル安全保護回路が同時に故障し，安全保護機能が喪失するという可能性は否定できない。このようなソフトウェア CCF リスクに対し，各事業者は，デジタ
ル安全保護回路を設ける場合には，ソフトウェア CCF の影響を受けない代替機能を有す
る多様化設備を自主的に設置してきた。これにより，運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳した場合でも適切に事象を緩和することが可能になる。
NRA 検討チームの第 4 回公開会合（2020 年 1 月 29 日開催）において，事業者は，自主設置していた多様化設備に，安全系の自動起動及び警報を追加すること（添付書類 1 参照）により，運転時の異常な過渡変化及び設計基準事故の全事象で炉心損傷の防止が可能になるとの予備評価結果を示した（参考書類 3 参照）。
本技術要件書は，NRA 検討チームでの議論及び米国でのソフトウェア CCF 影響緩和対策
要求を踏まえ，多様化設備への要求事項及びその有効性評価手法，並びに手順書の整備，教育及び訓練の実施要求について取りまとめたものである。
各事業者は，本技術要件書に示した技術要件に従い有効性評価，設備の基本設計・詳細設計を行い，ソフトウェア CCF 影響緩和対策を自主的に整備する。
ATENA は，事業者の取り組み状況を確認し，対策の確実な実施をフォローしていく。
本技術要件書には，技術要件に加え対策設備例及び有効性評価条件例を記載しており，それらは各事業者の対策検討の進捗に合わせて詳細化されていくことから，本技術要件
1©Atomic Energy Association 2020

書も必要に応じて例示箇所等の更新を行うものとする。
また，ソフトウェア CCF に関する海外動向を注視し，新知見が得られた場合には本技術要件書への反映の要否を検討し，必要に応じて本技術要件書の改定を行うものとする。
1.3 適用範囲
デジタル安全保護回路のソフトウェア CCF 影響緩和対策に適用する。
1.4 用語の定義
本技術要件書における用語は次の定義による。
デジタル計算機：コンピュータに内蔵されたソフトウェアによって制御され，人手の介入なしにデジタルデータの算術演
算，論理計算等の計算を行う装置をいう。

デジタル安全保護回路：安全保護回路とは，運転時の異常な過渡変化又は設計基準事故を検知し，これらの事象が発生した場合において，原子炉停止系統及び工学的安全施設を自動的に作動させる設備で，多重化されたものをいう。デジタル安全保護回路とは，安全保護回路のうち，ソフトウェアにより設定値比較機能，論理演算機能の全部又は一部を作動させるものをいう。

設定値比較機能：既定の設定値と検出した信号値を比較する機能のことをいう。

論理演算機能：設定値比較機能からの出力信号を受けて既定の論理演算を行い，原子炉停止系統及び工学的安全施設の機器を作動させる，又は警報発信及びランプ点灯させるための信号を出力するための論理演算を行う機能のことをいう。

ソフトウェア：ソフトウェアとは，コンピュータを動かすプログラ
ムのことをいう。ソフトウェアには，入出力の制御，
ハードウェアの管理等を担いコンピュータの基本的なコントロールを行うオペレーティングシステ
ム（以下，「OS」という。），設計上の要求機能をコン
ピュータ上で実現するアプリケーション，アプリケーションを実行するためのデータベース，データ設定等がある。

2©Atomic Energy Association 2020

ソフトウェアに起因する共通要因故障，ソフトウェア CCF：ソフトウェアの不具合により多重化されたデジタル
安全保護回路が同時に故障する状態をいう。

（CCF；Common Cause Failure）
多様化設備：運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア CCF により多重化されたデジタル安全保護回路がその安全保護機能を喪失した
場合においても，安全保護回路の代替機能として，原子炉停止系統，工学的安全施設等を自動，又は手動により作動させ,設計基準事故の判断基準を概ね満足しながら事象を収束させるために必要となる設備をいう。

サポート系：機器及び系統の性能を発揮するために必要となる電源系，冷却系，空調系等の設備系統をいう。

プラットフォーム

：アプリケーションソフトウェアの実行を制御する OS
やアプリケーションソフトウェア及びデータベー
スとのやり取りを管理するミドルウェア等をプラットフォームという。

（本頁以下余白）3©Atomic Energy Association 2020

2. ソフトウェア CCF について
2.1 ソフトウェア CCF 想定の範囲
ソフトウェア CCF を想定する設備の範囲は，デジタル計算機を適用した安全保護回路のうち設定値比較機能，論理演算機能とする。図 2.1－1 にソフトウェア CCF の発生を想定する範囲の例を示す。
安全保護回路のうちソフトウェア CCF を想定する範囲

検出器

設定値比較機能

論理演算機能リレー等
・原子炉緊急停止
・ポンプ動作・弁閉止 等図 2.1－1 安全保護回路のうちソフトウェア CCF を想定する範囲（例）2.2 ソフトウェア CCF 発生時の安全保護回路故障モード想定
デジタル安全保護回路のソフトウェアに不具合が潜在しているところで，運転時の異常な過渡変化又は設計基準事故が発生しデジタル安全保護回路の自動作動が要求された時に，その不具合が顕在化しソフトウェア CCF が発生することにより，原子炉停止系統及び工学的安全施設を自動起動する信号が出力されず，安全保護機能が喪失する状態を故障モードとして想定する。
なお，ソフトウェア CCF の発生により安全保護機能が喪失する場合においても，それ以前にデジタル安全保護回路の信号により起動，運転しているポンプ等の機器は，ソフトウ
ェア CCF の影響を受けないものとして機器の作動状態の変化は想定しない。
（本頁以下余白）4©Atomic Energy Association 2020

3. 多様化設備要件
3.1 設置要求
デジタル安全保護回路を設ける場合には，代替機能を有する多様化設備を設置しなけ
ればならない。
ただし，ソフトウェア CCF が発生するおそれがない場合，若しくは運転時の異常な過渡変化又は設計基準事故が発生し，かつ安全保護回路の一部がソフトウェアにより作動するものがある場合で，当該ソフトウェアが機能しない場合を想定しても，他の安全保護機
能が作動することにより設計基準事故の判断基準を概ね満足することが有効性評価により確認できる場合には，多様化設備を設けなくてもよい。
3.2 機能要求
多様化設備は，運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア
CCF により安全機能が喪失した場合においても，設計基準事故の判断基準を概ね満足できるよう，原子炉停止系統，工学的安全施設等を自動，又は手動で作動させることができなければならい。
さらに，原子炉停止系統，工学的安全施設等を手動により作動させる場合には，運転員が必要な時間内に操作を開始し，判断基準を概ね満足した状態で事象を収束させることができるよう，運転時の異常な過渡変化又は設計基準事故の発生時に安全保護機能動作の異常の発生を認知し，必要な操作の判断を行える機能を設けなければならない。
3.3 多様化設備の範囲
多様化設備の範囲は，3.2 機能要求を達成するために必要となる，検出器，操作スイッ
チ，論理回路，指示計・警報等の計測制御設備とする。多様化設備の範囲を図 3.3－1 に示す。
この計測制御設備の構成要素は，3.5 多様化設備への要求事項を満足する限り，デジタ
ル安全保護回路のソフトウェア CCF 影響緩和対策として設けた設備以外の設備（安全保護回路の検出器及び操作スイッチ，重大事故等対処設備等）も多様化設備として用いることができる。
また，多様化設備の範囲は，安全保護回路のデジタル化の範囲等により異なるため，多様化設備としてどの設備を選定したか設計図書で明確にする。
（本頁以下余白）5©Atomic Energy Association 2020

操作
スイッチ

検出器（多重化）

指示計
警報

論理回路
論理機能

デジタル
安全保護回路指示計
警報

自動作動回路（多重化）

原子炉停止系統，
工学的安全施設等

青点線は，多様化設備の範囲の例を示す

図 3.3－1 多様化設備の範囲
3.4 設計基本方針
多様化設備の設計基本方針は，設計基準事故対処設備及び重大事故等対処設備のもつ機能と異なり，ソフトウェア CCF に対応するための設備であることを踏まえ，以下のとおりとする。
デジタル安全保護回路は，十分に高い信頼度でソフトウェア設計がなされており，ソフ
トウェア CCF が発生する可能性は極めて小さく抑えられているため（参考書類 2 参照），
多様化設備は，運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア
CCF により安全機能が喪失するという設計基準を超える事象に対応する設備であることから，多様化設備に対しては，設計上，単一故障を考慮しない。
多様化設備は，設計上，火災・溢水あるいは外的影響（地震を除く）とソフトウェア CCFの重畳を考慮しない。
多様化設備は，ソフトウェア CCF 発生時に安全保護回路の代替機能を有する設備であることから，耐環境性，耐震性，供給電源等は，安全保護回路と同等の条件で機能を発揮できる設計とする。
3.5 多様化設備への要求事項
3.5.1 多重性
多様化設備には，多重性は要求しない。
3.5.2 多様性
多様化設備自体には，多様性は要求しない。
多様化設備は，ソフトウェアを用いた安全保護回路に対して多様性を有した設備とすること。
6©Atomic Energy Association 2020

なお，多様性を有した設備とは，アナログ設備等，ソフトウェア CCF によってデジタル安全保護回路と同時にその機能を喪失するおそれがないものをいう。
また，多様化設備に用いられるソフトウェア及びデジタル安全保護回路に用いられるソフトウェアにおいて，それらのソフトウェアに不具合が共通して内在する可能性がなく,かつその他ソフトウェア CCF が発生するおそれがないことが明らかである場合には，多様化設備にもソフトウェアを用いることができる。
3.5.3 耐環境性
多様化設備は，4．有効性評価で対象とする運転時の異常な過渡変化又は設計基準事
故とソフトウェア CCF が重畳する状態で想定される環境条件において，その機能を発揮できる設計とすること。
3.5.4 耐震性
多様化設備は，基準地震動 Ss による地震力に対し，機能維持する設計とすること。
3.5.5 供給電源
多様化設備は，外部電源が利用できない場合においても，非常用電源系又は重大事故等対処設備電源系のどちらか一方から給電できる設計とすること。
3.5.6 設備の共用
多様化設備は，二以上の発電用原子炉施設において共用しない設計とすること。また，相互に接続しない設計とすること。
3.5.7 試験可能性
多様化設備は，原子炉の運転中又は停止中に，試験又は検査ができる設計とすること。
3.5.8 安全保護回路への波及的影響防止
多様化設備は，多様化設備の故障影響により安全保護回路の安全機能を喪失させない設計とすること。
3.5.9 火災防護及び溢水防護
多様化設備が，火災・溢水の影響を受けたとしても，安全保護回路の安全機能を喪失させない設計とすること（参考書類 2 参照）。
3.5.10 外的事象に対する防護
多様化設備は，想定される自然現象（地震を除く），人為による事象，蒸気タービン，
ポンプ，その他の機器又は配管の損壊に伴う飛散物等に対して，多様化設備がそれらの7©Atomic Energy Association 2020

影響を受けない設計とすること又は多様化設備がそれらの影響を受けたとしても，安全保護回路の安全機能を喪失させない設計とすること。
3.5.11 操作性
多様化設備として手動操作設備が必要になる場合は，原子炉制御室に設置すること。
また，原子炉制御室に設置する場合には，誤操作防止を考慮した設計とするとともに，操作結果が確実に確認できるよう配慮した設計とすること。
なお，有効性評価により，原子炉制御室以外での操作で対応可能であることが確認できた場合はこの限りではない。
3.5.12 監視性
多様化設備には，運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳した事象の発生を認知できる警報，事象の判定及び対応操作の判断に必要な監視設備を原子炉制御室に設置すること。
また，多様化設備が自動で作動した場合には，その作動要因が原子炉制御室に表示される設計とすること。
（本頁以下余白）8©Atomic Energy Association 2020

4. 有効性評価
4.1 有効性評価の目的
有効性評価は，運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳する場合に，炉心の著しい損傷を防止する上で，安全保護回路の代替機能を有する設備である多様化設備が有効であることを確認するものであり，具体的には，設計基準事故において使用される判断基準を概ね満足し，事象が収束することを解析等により確認することを目的とする。
4.2 評価すべき事象
安全保護回路を含む原子炉施設の安全設計の妥当性を確認するため，原子炉設置許可
申請書では，「発電用軽水型原子炉施設の安全評価に関する審査指針」に基づき，運転時の異常な過渡変化及び設計基準事故の全事象について解析し評価を行っている。
多様化設備は，安全保護回路の代替機能を有する設備であることから，本有効性評価においても，運転時の異常な過渡変化及び設計基準事故の全事象を対象とする。
また，評価に際しては，ソフトウェア CCF が同じ影響を与える事象は，添付書類 2 に示す考え方でグルーピングをすることができる。さらに，判断基準に照らし合わせて影響の程度が軽微である事象，グルーピングしたグループ内の代表事象に包絡されることが定性的に評価できる事象，及びデジタル安全保護回路の動作を期待しない事象は解析を省略することができる。
なお，グルーピングを行う場合は，代表シナリオの包絡性（グループに含まれるシナリ
オの包絡性）を確認し，その妥当性を示すこと。
4.3 判断基準
有効性評価では，運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳するという設計基準を超える事象に対し，ソフトウェア CCF 影響緩和対策により，炉心損傷防止が可能になることを確認することから，運転時の異常な過渡変化及び設計基準
事故のいずれに対しても，判断基準は設計基準事故において使用される判断基準（「実用発電用原子炉及びその附属施設の位置，構造及び設備の基準に関する規則」（以下，「設置許可基準規則」という。
）第十三条第一項第二号）を準用し，その判断基準を概ね満足す
ることの確認を行う。
また，設備の健全性が別途確認されている原子炉格納容器の限界圧力，温度等の条件，
及び炉心の著しい損傷防止が達成できることを適切に確認できる他の判断基準を用いてもよい。
4.4 解析に当たって考慮すべき事項
3.4 設計基本方針に示したとおり，運転時の異常な過渡変化又は設計基準事故とソフ
トウェア CCF が重畳する事象は，設計基準を超える事象であり，これらのプラント応答を
9©Atomic Energy Association 2020

評価するにあたっては，安全設計の妥当性確認に用いる安全解析（運転時の異常な過渡変化又は設計基準事故）のような保守的評価ではなく，最も確からしいプラント応答を評価する観点から，重大事故等対処施設の有効性評価のような最適評価を基本的な考え方とする。すなわち，プラント初期条件，機器の作動状態の想定等の最適評価条件の考慮及び想定する事象を現実的に予測できる最適評価コードの使用により，運転時の異常な過渡変化又は設計基準事故に対する評価を行うことである。
ただし，ソフトウェア CCF が重畳する場合においても，保守的評価によって解析した結果が余裕をもって判断基準を満足する場合には，最適評価を行わず，保守的評価を採用してもよい。
4.4.1 解析にあたって考慮する範囲
有効性評価においては，事象発生前の状態として，通常運転範囲及び運転期間の全域を対象とすること。すなわち，サイクル期間中の炉心燃焼変化，燃料交換等による長期的な変動及び運転中に予想される運転状態を考慮すること。
解析は，想定した事象が，判断基準を概ね満足しながら，過渡状態が収束し，その後原子炉は支障なく安定状態へ移行できることが合理的に推定できる時点までを包含すること。
4.4.2 解析で想定する現実的な条件等最適評価で想定する現実的な条件の例を以下に示す。
・事象発生前のプラント初期条件は，設計値等に基づく現実的な値を用いる。その場
合には，安全設計の妥当性確認に用いる安全解析における解析条件との差異及び根拠を明確にすること。
・事象発生によって生じる外乱の程度，炉心状態（出力分布，反応度係数等），機器の容量等は，設計値等に基づく現実的な値を用いる。その場合には，安全設計の妥
当性確認に用いる安全解析における解析条件との差異及び根拠を明確にすること。
なお，作動設定点等については計装上の誤差は考慮しない。
・誤操作が起因事象となる評価では，運転手順に基づく現実的な操作条件を用いる。
その場合には，現実的な操作条件の根拠を明確にすること。
4.4.3 安全系機能に対する仮定
ソフトウェア CCF 発生時のデジタル安全保護回路，原子炉停止系統及び工学的安全施設を含む安全設備の作動状態については，以下を仮定すること。
・ソフトウェア CCF によりデジタル安全保護回路の機能が喪失し，原子炉停止系統
及び工学的安全施設が自動作動しない。
・デジタル安全保護回路を経由しない，自動起動信号又は運転員が事象の発生を認知した場合の手動起動信号により，原子炉停止系統及び工学的安全施設は作動可能
10©Atomic Energy Association 2020

とする（4.4.5 多様化設備に関連する条件 参照）。
・自動起動信号又は運転員の手動操作による，最も確からしいプラント応答を評価するため，安全機能を有する機器の単一故障は想定しない。
・安全機能のサポート系（電源系，冷却系，空調系等）は，起因事象との従属性がな
く，かつソフトウェア CCF の影響を受けない場合は，起因事象が発生する前の作動状態を維持する。
4.4.4 常用系機能に対する仮定
常用系設備の機能については，以下を仮定すること。
・起因事象として外部電源の喪失を仮定する事象以外は，外部電源は利用可能とする。
・事象発生前から機能しており，かつ事象発生後も機能し続ける設備は，故障の仮定から除外する。
・常用系機能の喪失が起因となる事象が前提である場合は，当該事象を評価する際にはその機能を期待しない。
4.4.5 多様化設備に関連する条件
多様化設備に関連する条件を以下に示す。
（1）機器条件
・多様化設備がもつ緩和機能の有効性を確認する観点から，多重性を要求しない多様化設備の単一故障は想定しない。
・多様化設備がもつ緩和機能の有効性を確認する観点から，多様化設備が代替作動させる原子炉停止系統，工学的安全施設等の故障及び誤動作が起因となる事象は想定しない。
・ソフトウェア CCF によりデジタル安全保護回路は，機能喪失するものの，多様化設備が代替し，利用可能である原子炉停止系統，工学的安全施設等を作動させることができるものとする。その際には，想定する起因事象及びソフトウェア CCF が発生した状態においても，原子炉停止系統，工学的安全施設等のサポート系（電源系，冷却系，空調系等）が利用可能であることを確認し，使用できない場合原子炉停止
系統，工学的安全施設等は利用できないものとする。
（2）操作条件
・運転員による手動操作をソフトウェア CCF 対策として期待することができる。ただし，有効性評価において運転員による手動操作を期待する場合には，原子炉制御室において運転員による事象の認知が可能であり，それに基づく操作手順書が整備され，運転操作訓練が適切に行われることによって，手動操作が適切に実施されることが前提となる。
・原子炉制御室での運転操作開始時間を現実的な想定としてもよい。その場合においては，運転員による事象の認知から運転操作開始までの時間を適切に考慮し，その11©Atomic Energy Association 2020

根拠を明確にすること。
・原子炉制御室外における運転員による現場操作を考慮してもよい。その場合においては，原子炉制御室における運転員による事象の認知から現場操作場所までの移動時間，及び現場操作場所に到着してから操作開始までの時間は適切に考慮し，その根拠を明確にすること。
4.4.6 解析に使用する計算プログラム及びモデル（1）有効性評価を行う場合は，運転時の異常な過渡変化又は設計基準事故の解析で用いる計算プログラム及びモデル，又は最適評価コード及び現実的な計算モデルを使用すること。
（2）使用する計算プログラム及びモデルは，適用範囲について，妥当性確認及び検証が行われたものであること。なお，許認可での使用実績により，計算プログラム
及びモデルの確認が行われている場合には，妥当性確認及び検証は不要である。
（本頁以下余白）12©Atomic Energy Association 2020

5. 手順書の整備と教育及び訓練の実施
5.1 手順書の整備
運転時の異常な過渡変化又は設計基準事故が発生した際に，デジタル安全保護回路の安全保護機能の喪失によって，原子炉停止系統及び工学的安全系施設が自動作動していないことを運転員が認知した場合に，その要因がソフトウェア CCF の重畳によることを判断した上で，必要な運転操作を実施し，判断基準を概ね満足した状態で事象を収束する
ことができるための手順書を整備すること。
5.2 教育及び訓練の実施
運転員には，運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳する事象に対して，整備された手順書に従い的確な対処をするために必要な力量を付与させるための教育及び訓練を，その対象・実施頻度を含め適切に計画し，実施すること。
（本頁以下余白）13©Atomic Energy Association 2020

6. 対策例
事業者は参考書類 3 に示す予備評価を実施しており，この結果に基づき検討した，多様化
設備例を，添付書類 1 に示す。実際に採用する多様化設備は，事業者が本技術要件書に従い，有効性評価及び設備設計を行い決定するものである。
（本頁以下余白）14©Atomic Energy Association 2020

7. 参考文献
本技術要件書を作成するにあたり，参考とした文献を以下に示す。
（1）

U.S. Nuclear Regulatory Commission, “Guidance for evaluation of diversity
and Defense-in-Depth in Digital Computer-Based Instrumentation andControl Systems,” NUREG-0800, Standard Review Plan Chapter 7, Branch
Technical Position 7-19, Revision7, AUGUST 2016.

（2）

Nuclear Energy Institute, “Guidance for Addressing Digital Common Cause
Failure,” NEI16-16[Draft2], May 2017.

（3）

International Atomic Energy Agency, "Design on Instrumentation andControl Systems for Nuclear Power Plants", Specific Safety Guide No.SSG39, APRIL 2016.

（4）

U.S. Nuclear Regulatory Commission, "Method for Performing Diversity and
Defense-in-Depth Analyses of Reactor Protection Systems," NUREG/CR-6303,
December 1994.

（5）

U.S. Nuclear Regulatory Commission, "A Defense-in-Depth and Diversity
Assessment of the RESAR-414 Integrated Protection System," NUREG-0493,
MARCH 1979.

（6）

S. Small and I. Poppel., GE Hitachi Nuclear Energy, “A Method forevaluating digital CCF across an integrated plant Design,” Proceedingsof an International Conference 6-9 June 2017,Veinna, Austria Vol.2, June
2017.

（7）

Duke Energy corporation, "Oconee Nuclear Station, NRC Withdrawal of the
Safety Evaluation for the Plant's Defense-in-Depth & Diversity (D3)
Assessment Associated with Digital Upgrade of the Reactor Protective
System (RPS) and Engineered Safeguards Protective System (ESPS)","Attachment Oconee Nuclear Station Defense-in-Depth and diversity
Assessment for RPS/ESPS Digital Upgrade," March 20, 2003.

（8）

GE Hitachi Nuclear Energy, “ABWR Design Control Document Tier 2”, Chapter
7 Instrumentation and Control Systems, 25A5675AJ, Revision 6, February
2016.

（9）

実用発電用原子炉及びその附属施設の位置，構造及び設備の基準に関する規則（平成 25 年 6 月 28 日原子力規制委員会規則第 5 号）
，最終改正：令和 2 年 4 月
1 日原子力規制委員会規則第 3 号（10）

実用発電用原子炉及びその附属施設の技術基準に関する規則（平成 25 年 6 月 28 日原子力規制委員会規則第 6 号）
，最終改正：令和 2 年 4 月
1 日原子力規制委員会規則第 3 号
15©Atomic Energy Association 2020

（11）日本電気協会，安全保護系へのディジタル計算機の適用に関する規程（JEAC4620-2008）（12）

日本電気協会，ディジタル安全保護系の検証及び妥当性確認に関する指針（JEAG4609-2008）（13）

日本電気協会，安全機能を有する計測制御装置の設計指針（JEAG4611-2006）（14）

日本電気協会，安全機能を有する電気・機械装置の重要度分類指針（JEAG46122010）（本頁以下余白）16©Atomic Energy Association 2020

解説
本技術要件書の適用にあたり，注意を必要とし，かつ技術要件書そのものの意義，解釈をより明確にしておく必要がある事項について，以下に掲げることとした。
解説 2.1 ソフトウェア CCF 想定の範囲
安全保護回路の一部にデジタル計算機を適用した場合は，デジタル計算機を適用した範囲に対してソフトウェア CCF を想定するものとする。
（例－1）
中性子計装にデジタル技術を適用した例を解説図 2.1－1 に示す。安全保護回路のうち，デジタル化された中性子束設定値比較機能に対してソフトウェア CCF の想定を行う。
安全保護回路のうちソフトウェア CCF を想定する範囲
中性子検出器

中性子束設定値比較
機能（デジタル）

論理演算機能（アナログ）

リレー等
・原子炉緊急停止
・ポンプ動作・弁閉止 等

他の検出器

他の設定値比較機能（アナログ）

他の論理演算機能（アナログ）

解説図 2.1－1 中性子計装にデジタル技術を適用した場合のソフトウェア CCF を想定する範囲の例（例－2）
設定値比較機能にデジタル技術を適用した例を解説図 2.1－2 に示す。安全保護回路のうち，デジタル化された設定値比較機能に対してソフトウェア CCF の想定を行う。
安全保護回路のうちソフトウェア CCF を想定する範囲
検出器

設定値比較
機能（デジタル）

論理演算機能（アナログ）

リレー等
・原子炉緊急停止
・ポンプ動作・弁閉止 等

他の検出器

他の設定値比較
機能（デジタル）他の論理演算機能（アナログ）

解説図 2.1－2 設定値比較機能にデジタル技術を適用した場合のソフトウェア CCF を想定する範囲の例
17©Atomic Energy Association 2020

解説 2.2 ソフトウェア CCF 発生時の安全保護回路故障モード想定
デジタル安全保護回路のソフトウェアの不具合により誤作動信号が出力される場合は，工学的安全施設の機器の作動，原子炉緊急停止等のプラント状態の変化を伴うことにより，運転員等に認知され，適切に対処可能であることから，故障モードとして想定しない。
これに対し，デジタル安全保護回路のソフトウェアの不具合が不作動側の場合は，運転時の異常な過渡変化又は設計基準事故が発生し自動作動要求があるまで，その異常を認知することが困難であり，ソフトウェア CCF 発生まで不具合の潜在が継続する可能性がある。
したがって，デジタル安全保護回路のソフトウェア CCF 影響緩和対策にあたっては，
原子炉停止系統及び工学的安全施設を自動作動する信号が出力されず，安全保護機能が喪失する状態を故障モードとして想定するものである。
また，ソフトウェア CCF 発生以前にデジタル安全保護回路からの信号で起動し，その後運転を継続しているポンプ等の機器については，ソフトウェア CCF により自動作動する信号が出力されない故障モードのみを想定しているので，自動停止する信号も出力されず，ポンプ等の機器の運転状態は変化しないことから，ソフトウェア CCF による作動状態の変化は想定しない。
解説 3.1 設置要求
「ソフトウェア CCF が発生するおそれがない場合」とは，具体的には，安全保護回路がアナログで構成されている場合，あるいは安全保護回路がソフトウェアで構成されている場合で，ソフトウェア自身が多様性を有していること等によってソフトウェア CCF が発生するおそれがない場合をいう。なお，ソフトウェア自身が多様性を有しているとは，多重化されたデジタル安全保護回路内で異なるハードウェア・OS・アプリケーションで構成されたデジタル技術等を適用した場合をいう。
「運転時の異常な過渡変化又は設計基準事故が発生し，かつ安全保護回路の一部がソフトウェアにより作動するものがある場合で，当該ソフトウェアが機能しない場合を想定しても，他の安全保護機能が作動することにより設計基準事故の判断基準を概ね満足することが有効性評価により確認できる場合」とは，安全保護回路の一部がソフトウェア
により作動するものがあるプラントにおける対処方法の一つを示している。このようなプラントでは，安全保護回路にはソフトウェアに依存しないアナログ回路等が存在しているため，ソフトウェアにより作動する一部回路が共通要因故障により機能しない場合
において，運転時の異常な過渡変化又は設計基準事故が発生したとしても，安全保護回路の内のソフトウェアに依存しないアナログ回路等によってその事象を緩和できる場合がある。これを有効性評価により確認できる場合には多様化設備を設けなくてもよいものとする。
18©Atomic Energy Association 2020

中性子計装にデジタル技術を適用した例を解説 2.1 ソフトウェア CCF 想定の範囲（例－1）に示したように，中性子束設定値比較機能（デジタル）以外の機能が，アナログ回路で構成されているので，ソフトウェア CCF の影響を受けることは無く，運転時の異常な過渡変化又は設計基準事故が発生した場合でも，中性子束設定値比較機能（デジタル）に係る中性子束高スクラム機能等以外の安全保護機能は正常に動作するため，有効性評価
により事象を緩和できることを確認できる場合は，多様化設備を設けなくてもよい。
解説 3.2 機能要求
「設計基準事故の判断基準を概ね満足できる」とは，4.3 判断基準を参照のこと。
「必要な時間内」とは，有効性評価において想定する事象が発生してから運転員による異常の発生の認知を含め多様化設備による緩和機能が作動するまでの時間的余裕をいう。
（時間的余裕の考え方は，4.4.5 多様化設備に関連する条件（2）操作条件を参照のこと。）
また，時間的余裕の確保のために，緩和機能を自動的に作動させる機能を設ける場合がある。
解説 3.3 多様化設備の範囲
多様化設備は，原子炉停止系統，工学的安全施設等を作動させる機能を有する計測制御設備であり，安全保護回路のソフトウェアに対する多様性を含む要求事項を満足した複数の計測制御機能を統合したものであることから，多様化設備の範囲を設計図書で具体的に明確にしておく必要がある。
解説 3.4 設計基本方針
デジタル安全保護回路は，下記のように設計・製作段階よりソフトウェアの信頼性確保に努めることで，これまでにソフトウェア CCF を発生させることなく稼働していることから，十分に高い信頼度でソフトウェア設計がなされているといえる。
（1）ソフトウェアの信頼性確保としてのこれまでの取り組み
a.デジタル安全保護回路は，原子力施設で用いることを前提に開発・設計されており，
定周期処理，シングルタスク構成，割り込み処理なしのシンプルなソフトウェア構造にするとともに，可視化言語の適用により第三者による確認，検証を容易としている。
b. デジタル安全保護回路に用いる OS は，入力処理，論理・演算処理，出力処理までの動作を定周期で制御するシンプルな機能をもつ OS を採用している。
c. デジタル安全保護回路は，JEAC4620 及び JEAG4609 に基づき，ソフトウェアライフ
サイクル及び構成管理手法を含めた品質保証活動・検証及び妥当性確認を実施している。
（2）国内原子力施設のソフトウェア CCF 実績
NUCIA の登録情報及び国内プラントメーカーの記録を確認したところ，原子力施設に導入した，多重化されたデジタル制御装置のソフトウェア CCF 発生の記録はなく，PWR
19©Atomic Energy Association 2020

及び BWR ともに，国内ではソフトウェア CCF はこれまで発生していない。
多様化設備は，運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア
CCF により安全機能が喪失するという設計基準を超える事象に対応する設備であることから，安全機能を有する計測制御装置を対象とした日本電気協会「安全機能を有する計測制御装置の設計指針（JEAG4611-2006）」及び日本電気協会「安全機能を有する電気・機械装置の重要度分類指針（JEAG4612-2010）」における重要度分類には該当しない。
解説 3.5.1 多重性
多様化設備は，運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア
CCF により安全機能が喪失するという設計基準を超える事象に対応する設備であり，単一故障は想定しないことから多重性は要求しない。
解説 3.5.2 多様性
3.5.1 多重性と同様の理由により，単一故障は想定しないことから，多様化設備そのものには多様性は要求しない。
「多様化設備に用いられるソフトウェア及びデジタル安全保護回路に用いられるソフ
トウェアにおいて，それらのソフトウェアに不具合が共通して内在する可能性がなく,かつその他ソフトウェア CCF が発生するおそれがないことが明らかである場合」とは，多様化設備に，例えば，デジタル安全保護回路とは異なるハードウェア・OS・アプリケーショ
ンで構成されたデジタル技術等を適用した場合をいう。なお，多様化設備に適用するデジタル技術の要件に関して，具体的な検討を今後実施していく。
（参考書類 2 第 3 回検討チーム資料 2-2「多様化設備に対する主な意見」6 頁参照のこと。）
解説 3.5.4 耐震性
多様化設備は，運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア
CCF により安全機能が喪失するという設計基準を超える事象に対応する設備であるため，
耐震 S クラスは要求しない。しかしながら，ソフトウェア CCF 発生時の安全保護回路の代替機能を有する設備であるため，安全保護回路と同等の基準地震動 Ss に対して機能維持するものとする。
解説 3.5.5 供給電源
多様化設備は，運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳した場合に，安全保護回路の代替機能を有する設備であるため，運転時の異常な過渡変化の一つである外部電源喪失時と同時にソフトウェア CCF が重畳した場合においても，その機能を維持する必要があることから，外部電源によらずとも非常用電源系又は重大事故等対処設備電源系どちらか一方からの受電により機能を発揮できるものとする。
20©Atomic Energy Association 2020

解説 3.5.6 設備の共用
多様化設備は，個別の発電用原子炉施設において運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳した場合に安全保護回路の代替機能を有する設備であることから，二以上の発電用原子炉施設において共用及び相互接続はしないものとする。
解説 3.5.7 試験可能性「試験」とは，設備の特性を明確にすることをいい，「検査」とは，設備の試験等により機能・性能維持がなされていることを判断基準により合否判定することである。
多様化設備は，運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア
CCF により安全機能が喪失するという設計基準を超える事象に対応する設備であるため，運転中の試験を必ずしも要求するものではない。
例えば，多様化設備は，原子炉の運転中において，指示計及び警報表示窓の目視確認により，期待する機能が失われたことを確認した場合には，機能復旧後，動作確認ができるものとする。
また，原子炉停止中の定期事業者検査又は定期点検において，多様化設備の機能が維持されていることを確認できるものとする。
解説 3.5.8 安全保護回路への波及的影響防止
多様化設備は，ソフトウェア以外の共通要因によって安全保護機能と同時にその代替機能が損なわれる恐れがないよう考慮する必要があることから，アイソレータ，切替回路等による物理的方法，又は電気的な方法等により安全保護回路と互いに分離するものとする。
解説図 3.5.8－1～解説図 3.5.8－3 に，多様化設備の機能である主蒸気隔離弁（MSIV）
閉機能，工学的安全施設作動機能，原子炉停止機能喪失（ATWS）緩和機能と安全保護回路の分離例を示す。
（参考書類 2 第 3 回検討チーム

資料 2－3「令和元年 10 月 30 日発電用原子炉施設におけるデジタル安全保護系の共通要因故障対策等に関する検討チーム

第１回会合時のご質問回答」2 頁参照のこと。
）（本頁以下余白）21©Atomic Energy Association 2020

アイソレータ

多様化設備※1

デジタル安全保護回路

BWR

PWR

MSIV は外側隔離弁 4 弁，内側隔離弁 4 弁の計 8 弁あるが，以下には，代表して 1 弁分の回路を記載する。
原子炉制御室

A系

主盤

原子炉制御室

主盤

多様化設備

手動
操作

手動
操作

B系

手動
隔離
（※2）

設定値比較
論理機能

ロード
ドライバ

出力
回路

設定値比較
論理機能

設定値比較
論理機能

ロード
ドライバ

急速閉用ソレノイド

出力回路
MSIV 閉※2：ソレノイド A，B 毎にロードドライバが 4 つずつ設けられており，
ハードワイヤード回路で 2 out of 4 論理を構成している。

※1：安全保護回路との共用部分を除く

解説図 3.5.8－1

多様化設備と安全保護回路の分離例（MSIV 閉機能）
アイソレータ

多様化設備※1

デジタル安全保護回路

BWR

PWR
（例）高圧注入ポンプ（例）HPCF ポンプ起動機能

原子炉制御室 主盤

多様化設備

手動
操作

指示計

設定値比較
論理機能

手動
操作

指示計

設定値比較
論理機能

切替
回路

多様化設備

手動
操作

出力
回路

HPCF ポンプ

高圧注入ポンプ
起動※1：安全保護回路との共用部分を除く

解説図 3.5.8－2 多様化設備と安全保護回路の分離例（工学的安全施設作動機能）
アイソレータデジタル安全保護回路

BWR

多様化設備※1

PWR

設定値比較
論理機能

原子炉緊急停止系

設定値比較
論理機能

設定値比較
論理機能

設定値比較
論理機能
出力回路
タービントリップ等
代替制御棒挿入機能系※1：安全保護回路との共用部分を除く

解説図 3.5.8－3

多様化設備と安全保護回路の分離例（ATWS 緩和機能）

22©Atomic Energy Association 2020

解説 3.5.9 火災防護及び溢水防護想定される火災・溢水に対して多様化設備と安全保護回路を分離，独立した設計とする
ことにより，多様化設備が機能を喪失しても安全保護回路の安全機能が同時に機能喪失させないものとする。
なお，火災・溢水による運転時の異常な過渡変化とソフトウェア CCF が重畳するリスクは十分小さいため，火災・溢水の発生に対しては，ソフトウェア CCF の重畳を考慮しない。
（参考書類 2

第 3 回検討チーム資料 2-2「多様化設備に対する主な意見」2 頁参照のこと。
）
解説 3.5.10 外的事象に対する防護「想定される自然現象（地震を除く）」とは，原子力発電所の敷地の自然環境を基に，津波，洪水，風（台風），竜巻，凍結，降水，積雪，落雷，地滑り，火山の影響，生物学
的事象又は森林火災等から適用されるものをいう。
「人為による事象」とは，敷地及び敷地周辺の状況をもとに選択されるものであり，飛来物（航空機落下等），ダムの崩壊，爆発，近隣工場等の火災，有毒ガス，船舶の衝突又は電磁的障害等をいう。
「蒸気タービン，ポンプ，その他の機器又は配管の損壊に伴う飛散物」とは，内部発生
エネルギーの高い流体を内蔵する弁及び配管の破断，高速回転機器の破損，ガス爆発又は重量機器の落下等によって発生する飛散物をいう。なお，二次的飛散物，火災，化学反応，
電気的損傷，配管の破損又は機器の故障等の二次的影響も考慮するものとする。
外的事象に対する防護対策例は，以下のとおり。
表 外的事象に対する防護対策例
事象

防護対策例

風（台風）
，竜巻，凍結，降水，積雪，

外部事象に対して防護された建屋内に設置

火山の影響，生物学的事象，森林火災
津波，洪水，地滑り，ダムの崩壊，爆影響範囲に対して離隔を確保する等

発，近隣工場等の火災，船舶の衝突
落雷

耐雷設計

電磁的障害

耐電磁的障害設計

有毒ガス－（設備に対する影響モードなし）

航空機落下－（落下確率が十分低く考慮不要）

内部発生エネルギーの高い流体を内蔵す

配管破損想定位置と離隔を確保する等

る弁及び配管の破断
高速回転機器の破損－（回転機器側で飛散物が発生しない設計とする）

23©Atomic Energy Association 2020

解説 3.5.11 操作性
運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳した事象への対応に必要な手動操作設備及び操作結果を確認できる監視設備を多様化設備として原子炉制御室に設けるものとする。
多様化設備の誤操作防止を考慮した設計例としては，多様化設備の手動操作設備は，運転員が容易に操作可能な場所に設置し，操作器具の配列，形状等の設計条件を同じ場所に設置された他の設備と同様とすることで，操作が円滑に行われるよう留意すること等がある。
また，多様化設備に切替スイッチを設ける場合は，例えば，切替警報，アクセスカバー等を設置することで，誤操作防止を実現するものとする。さらに，盤上に設置した指示計
及び警報は，発電用原子炉施設の状態が正確かつ迅速に把握できるよう留意する。
なお，有効性評価により，対応操作までの時間余裕があり，現場での操作で対応可能であることが確認できたものはこれを許容する。
解説 3.5.12 監視性
多様化設備は，原子炉制御室において，運転員がソフトウェア CCF の発生を認識できる
警報及び多様化設備が自動作動した場合に，作動したことが確認できる監視設備を設けるものとする。
また，解説 3.5.11 操作性と同様に，多様化設備の警報及び監視設備は，運転員が容易に確認可能な場所に設置し，警報及び監視器具の配列，形状等の設計条件を同じ場所に設置された他の設備と同様とすることで，監視が正確かつ迅速に行われるよう留意する。
解説 4.1 有効性評価の目的
運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳する事象は，設計基準を超えるものではあるものの，炉心損傷の影響緩和よりも発生防止を重視することとし，有効性評価の判断基準としては「運転時の異常な過渡変化及び設計基準事故の全事象に対して炉心の著しい損傷防止」としている。炉心の著しい損傷防止を判断する具体的な基準としては，最適評価の結果が設計基準事故において使用される判断基準を概ね満足することとしている。
「概ね満足する」とは，解析結果が設計基準事故の判断基準を超えた場合においても,他の判断基準により設計基準事故として満たすべき要件が満足されている場合をいう。
また，想定した事象が，判断基準を概ね満足しながら過渡状態が収束し，その後原子炉が支障なく安定状態に移行できることが，合理的に推定できる時点までを確認範囲とする。合理的に推定できる時点とは，例えば炉心の崩壊熱がプラントの徐熱能力を下回り，それ以降はプラントを安定状態に移行できることが推定できる時点のことである。
「解析等により確認する」とは，他の解析結果を基に合理的に類推し有効性を確認す
24©Atomic Energy Association 2020

る場合も含む。
解説 4.2

評価すべき事象

有効性評価においては，運転時の異常な過渡変化及び設計基準事故の全事象を対象とし，具体的には，「発電用軽水型原子炉施設の安全評価に関する審査指針」に基づくものとする。 BWR 及び PWR における対象事象は以下のとおりである。
また，有効性評価における評価すべき事象のグルーピングの考え方を添付書類 2 に示す。
「運転時の異常な過渡変化」
1. 炉心内の反応度又は出力分布の異常な変化（1）原子炉起動時における制御棒の異常な引き抜き（PWR，BWR）（2）出力運転中の制御棒の異常な引き抜き（PWR，BWR）（3）制御棒の落下及び不整合（PWR）（4）原子炉冷却材中のほう素の異常な希釈（PWR）
2. 炉心内の熱発生又は熱除去の異常な変化（1）原子炉冷却材流量の部分喪失（PWR，BWR）（2）原子炉冷却材系の停止ループの誤起動（PWR，BWR）（3）外部電源喪失（PWR，BWR）（4）主給水流量喪失（PWR）（5）蒸気負荷の異常な増加（PWR）（6）2 次冷却系の異常な減圧（PWR）（7）蒸気発生器への過剰給水（PWR）（8）給水加熱喪失（BWR）（9）原子炉冷却材流量制御系の誤動作（BWR）
3. 原子炉冷却材圧力又は原子炉冷却材保有量の異常な変化（1）負荷の喪失（PWR，BWR）（2）原子炉冷却材系の異常な減圧（PWR）（3）出力運転中の非常用炉心冷却系の誤起動（PWR）（4）主蒸気隔離弁の誤閉止（BWR）（5）給水制御系の故障（BWR）（6）原子炉圧力制御系の故障（BWR）（7）給水流量の全喪失（BWR）「設計基準事故」
1. 原子炉冷却材の喪失又は炉心冷却状態の著しい変化
25©Atomic Energy Association 2020

（1）原子炉冷却材喪失（PWR，BWR）（2）原子炉冷却材流量の喪失（PWR，BWR）（3）原子炉冷却材ポンプの軸固着（PWR，BWR）（4）主給水管破断（PWR)（5）主蒸気管破断（PWR）
2. 反応度の異常な投入又は原子炉出力の急激な変化（1）制御棒飛び出し（PWR）（2）制御棒落下（BWR）
3. 環境への放射性物質の異常な放出（1）放射性気体廃棄物処理施設の破損（PWR，BWR）（2）主蒸気管破断（BWR）（3）蒸気発生器伝熱管破損（PWR）（4）燃料集合体の落下（PWR，BWR）（5）原子炉冷却材喪失（PWR，BWR）（6）制御棒飛び出し（PWR）（7）制御棒落下（BWR）
4. 原子炉格納容器内圧力，雰囲気等の異常な変化（1）原子炉冷却材喪失（PWR，BWR）（2）可燃性ガスの発生（PWR，BWR)（3）動荷重の発生（BWR）
解説 4.3 判断基準
設置許可基準規則第十三条第一項第二号に記載されている事項は以下のとおり。
第十三条第一項第二号：
設計基準事故時において次に掲げる要件を満たすものであること。
イ

炉心の著しい損傷が発生するおそれがないものであり，かつ炉心を十分に冷却できるものであること。
ロ

燃料材のエンタルピーが炉心及び原子炉冷却材圧力バウンダリの健全性を維持するための制限値を超えないこと。
ハ

原子炉冷却材圧力バウンダリにかかる圧力が最高使用圧力の一・二倍以下となること。
ニ

原子炉格納容器バウンダリにかかる圧力及び原子炉格納容器バウンダリにおける温度が最高使用圧力及び最高使用温度以下となること。
26©Atomic Energy Association 2020

ホ

設計基準対象施設が工場等周辺の公衆に放射線障害を及ぼさないものであること。

このうち，イ項に係る具体的な判断基準として，「軽水型動力炉の非常用炉心冷却系の性能評価指針」に基づいて以下の基準を用いる。
（a）燃料被覆管の温度の計算値の最高値は，1,200℃以下であること。
（b）燃料被覆管のジルコニウム－水反応量の計算値は，酸化反応が著しくなる前の燃料被覆管厚さの 15％以下であること。
（c）炉心で燃料被覆管及び構造材が水と反応するに伴い発生する水素の量は，原子炉格納容器の健全性確保の見地から，十分低い値であること。
（d）燃料棒の形状の変化を考慮しても，崩壊熱の除去が長期間にわたって行われることが可能であること。
また，ロ項に係る具体的な判断基準としては，「発電用軽水型原子炉施設の反応度投入事象に関する評価指針」及び専門部会報告書「発電用軽水型原子炉施設の反応度投入
事象における燃焼の進んだ燃料の取扱いについて」に基づく以下の基準を用いる。
（a）燃料エンタルピーの最大値は 230cal/g・UO2 からペレット融点低下分相当のエンタルピーを差し引いた値を超えないこと。
（b）浸水燃料の破裂に加えて，PCMI 破損による衝撃圧力等の発生を重畳しても原子炉停止能力及び原子炉圧力容器の健全性を損なわないこと。
解説 4.4.1 解析に当たって考慮する範囲「通常運転範囲」とは，起動，通常運転，制御棒パターン調整 等に伴う出力変更（BWR/ABWR）等のプラント運転状態を示す。
「運転期間」とは，サイクル運転中の初期から末期までの炉心燃焼度変化の範囲を示す。
「燃料交換等による長期的な変動」とは，初装荷炉心から平衡炉心に至るまでの炉心特性の変化，新型燃料の採用に伴う移行炉心から平衡炉心までの炉心特性の変化等のことである。
「合理的に推定できる時点」とは，解説 4.1 を参照のこと。
有効性評価において想定する起因事象と運転時の異常な過渡変化及び設計基準事故において想定する起因事象は同一であることから，解析の対象とするプラント運転範囲，運転期間として選定する解析点は，運転時の異常な過渡変化及び設計基準事故の解析と同様となる。
また，多様化設備が原子炉停止系統，工学的安全施設等を代替作動することによって炉心損傷に至ることなく安定状態を達成するまでを解析範囲とすれば，その後は支障なく
高温停止状態又は低温停止状態へ移行することが合理的に推定できるため，有効性評価の解析範囲も，運転時の異常な過渡変化及び設計基準事故の解析範囲と同様となる。

27©Atomic Energy Association 2020

解説 4.4.2 解析で想定する現実的な条件等「事象発生前のプラント初期条件は，設計値等に基づく現実的な値を用いる」とは，最適評価における実設計の情報，運転実績の知見等を踏まえた，現実的な値及び操作条件の設定を意味し，重大事故等対処設備の有効性評価における解析条件と同様の考え方である。
設計値等に基づく現実的な運転条件の例を以下に示す。
通常運転時の定格原子炉熱出力，圧力，一次冷却材温度，原子炉水位（BWR/ABWR），
炉心流量（BWR/ABWR），出力分布，反応度係数，崩壊熱，ヒートバランス「事象発生によって生じる外乱の程度，炉心状態（出力分布，反応度係数等），機器の容量等は，設計値等に基づく現実的な値を用いる」とは，最適評価における実設計の情報，
運転実績の知見等を踏まえた，現実的な値及び操作条件の設定を意味し，重大事故等対処
設備の有効性評価における解析条件と同様の考え方である。
設計値等に基づく現実的な値の具体例を以下に示す。
・制御棒の異常な引き抜き（BWR/ABWR）
制御棒のギャング引抜本数（ABWR），連続引抜速度，現実的な炉心設計及び制御棒価
値ミニマイザにより規定される制御棒引抜シーケンスを前提とした制御棒価値の想定・制御棒落下の反応度投入事象（BWR/ABWR）
現実的な炉心設計及び制御棒価値ミニマイザにより規定される制御棒引抜シーケン
スを前提とした制御棒価値の想定
・原子炉冷却材流量の喪失他（PWR）
減速材温度係数の現実的な設定，局所フィードバック効果の考慮
・線量影響評価
放射性物質の漏えい率（現実的なｆ値，格納容器漏えい率等）の想定
また，現実的な操作条件の例としては，BWR/ABWR における制御棒の異常な引き抜きにおける操作が挙げられる。制御棒の異常な引き抜きは，運転員の誤操作により制御棒が連続的に引き抜かれることにより原子炉出力が上昇する事象である。ソフトウェア CCF により臨界近傍でも起動領域モニタ指示値が変動しないが，制御棒引き抜き操作は，複数人による監視が行われる手順となっており，起動領域モニタ指示値が変動しない，表示されない等の異常が見られた場合は複数人の運転員の監視によって異常を認知できる。その結果，運転員が操作ボタンから手を離し，連続引き抜きを止める操作が行われることが期待される。このような操作は，通常運転中において手順に従い行われる現実的な操作条件の一つとして，解析条件に用いることができる。なお，これは，運転員の制御棒操作手順の遵守による誤引抜発生防止策・監視による事象の影響緩和策であり，ソフトウェア CCFの影響緩和対策と位置付けられる。
28©Atomic Energy Association 2020

解説 4.4.3 安全系機能に対する仮定「安全機能のサポート系（電源系，冷却系，空調系等）は，起因事象との従属性がなく，かつソフトウェア CCF の影響を受けない場合は，起因事象が発生する前の作動状態を維持する」とは，サポート系自身が起因事象による影響を受けない場合で，事象発生以前か
ら正常に運転しているサポート系は，ソフトウェア CCF の影響を受けない（2.2 節参照）
ことから，運転状態が継続することをいう。
解説 4.4.4 常用系機能に対する仮定「起因事象として外部電源の喪失を仮定する事象以外は，外部電源は利用可能」とは，有効性評価において，最も確からしいプラント応答を評価する観点から，常用系設備に対して外部電源喪失等の追加の故障は想定しないことである。
「事象発生前から機能しており，かつ事象発生後も機能し続ける設備は，故障の仮定から除外」とは，ソフトウェア CCF は，デジタル安全保護回路に対して安全保護機能の喪失を想定するものであることから，常用系のデジタル制御装置に対して機能喪失等を想定しないことである。例えば，給水制御の運転継続（BWR/ABWR），制御棒駆動機構パージ水の考慮（BWR/ABWR）等がある。
「常用系機能の喪失が起因となる事象が前提である場合は，当該事象を評価する際にはその機能を期待しない」とは，起因事象及びそれに従属して，ある常用系機能が喪失する場合，当該の常用系設備が復旧し，利用可能となることは想定しないことである。例えば，起因事象及びそれに従属して外部電源が喪失する場合は，外部電源が復旧し利用可能となることを想定しない。
解説 4.4.5 多様化設備に関連する条件「多様化設備が代替作動させる原子炉停止系統，工学的安全施設等の故障及び誤動作が起因となる事象は想定しない」とは，多様化設備の有効性を確認する観点から，多様化
設備が代替作動させる系統又は機器の安全機能が喪失する起因事象を想定しないことである。例えば，ABWR においては，原子炉圧力容器に接続している種々の配管破断が想定されるが，多様化設備が代替作動させる高圧炉心注水ポンプが接続する配管の破断を起因事象として想定しないことである。
「原子炉制御室での運転操作開始時間を現実的な想定としてもよい」とは，設計基準事故の評価では，運転員が事象を認知してから操作判断をするまでの時間的余裕として少なくとも 10 分間の時間余裕（いわゆる「10 分ルール」という。
）を見込むこととしているが，このルールを一律に適用する必要はなく，現実的な時間での運転操作を設定してもよいということである。その理由は，運転時の異常な過渡変化又は設計基準事故とソフト
ウェア CCF が重畳する事象は，低頻度事象であり，最も確からしいプラント応答を評価する観点から，有効性評価においては，この保守的な 10 分ルールを一律に考慮する必要はないからである。
29©Atomic Energy Association 2020

解説 4.4.6 解析に使用する計算プログラム及びモデル評価に用いる計算プログラムは，例えば BWR/ABWR における運転時の異常な過渡変化の解析に用いる REDY コード，SCAT コード等，設計基準事故の解析に用いる SAFER コード等
ではなく，ベストエスティメイトコード（想定する事象を現実的に予測できるコード）である TRAC 系コード等を使用してもよい。なお，TRAC 系コードは三次元評価解析コードであり，非断熱ドップラー効果，ボイドフィードバック効果を取り扱うことができる。
評価に用いる計算モデルは，例えば，崩壊熱モデルにおいては，設計基準事故解析で使用している保守的な GE+3σ式（無限照射）ではなく，より現実的な評価となる日本原子力学会崩壊熱推奨値，ANSI/ANS-5.1-1979 式，ORIGEN2 コードによる評価結果等を計算モ
デルとして使用してもよい。
解説 5.1 手順書の整備
有効性評価で想定している現実的な操作条件を考慮する。
デジタル安全保護回路の自動作動が要求されたときに原子炉停止系統及び工学的安全系施設が作動していないことを認知する手段を特定し，ソフトウェア CCF 事象を判断す
る手順を整備する。また，必要な手順書への移行の方法を明確化する。
有効性評価で想定している現実的な時間での運転操作条件を考慮し，原子炉制御室内での運転員による手動操作，及び現場での運転員による手動操作，現場へのアクセスルー
ト，機器配置等について手順書に記載する。
手順書は，過渡状態が収束し，その後原子炉が支障なく安定状態に移行し，安定状態が維持されるまでに必要な運転操作までを範囲とする。また，運転操作を行う場合の判断条
件及び操作場所を記載する。
プラント状態を監視するための計器，及びその設置場所を手順書に記載する。
手順書の整備にあたっては，現行の手順書体系との整合性を考慮する。
解説 5.2 教育及び訓練の実施（1）教育及び訓練の実施目的
運転員に対して，整備された手順書に従い，運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳した場合に，原子炉停止系統及び工学的安全系施設が作動していないことを認知する手段，それがソフトウェア CCF 事象であることの判断等について，的確に対処することができるように，有効性評価結果を活用した教育及び訓練を実施する。
（2）教育及び訓練の計画・実施
運転員に対して，整備された手順書の内容について習熟を図ることができるよう，教育及び訓練を計画・実施する。

30©Atomic Energy Association 2020

（3）教育及び訓練の実施対象者
本技術要件書に示した技術要件に従い，ソフトウェア CCF 影響緩和対策を実施するプ
ラントの運転員を対象に教育及び訓練を実施する。
（本頁以下余白）31©Atomic Energy Association 2020

添付書類 1
多様化設備例
多様化設備は，運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア
CCF により多重化されたデジタル安全保護回路がその安全保護機能を喪失した場合においても，設計基準事故の判断基準を概ね満足できるよう，原子炉停止系統，工学的安全施設等を自動，又は手動により作動させる機能，及び操作，監視を行うために必要となる指示，警報機能を有するものであり，これらの例を以下に示す。
なお，これらの例は，NRA 検討チームの第 4 回公開会合（2020 年 1 月 29 日開催）において，事業者より予備評価結果に基づき示したものである。
（本頁以下余白）32©Atomic Energy Association 2020

ABWR の多様化設備の機能例を添付表 1－1 に，系統構成概略例を添付図 1－1 に示す。
添付表 1－1 多様化設備の機能例（ABWR）
自動緩和機能止める

手動緩和機能・代替制御棒挿入（ARI）※2
・原子炉再循環ポ
ンプトリップ※2

冷やす※1・原子炉スクラム

・高圧炉心注水系起動※3・主蒸気隔離弁閉止※1
・主要な隔離弁閉止※1

閉じ込める

指示機能
※3

警報機能

・原子炉水位
・原子炉圧力※3・ドライウェル圧力※3・高圧炉心注水系起動状
態※3・高圧炉心注水系系統流量※3・主蒸気隔離弁の状態※1
・主要な隔離弁の状態※1

・ARI 作動・原子炉水位低・原子炉圧力高※1：安全保護回路※2：新規制基準施行後は，重大事故等対処設備として扱っている※3：自主対策設備
赤字：追加が必要な機能
黒字：既設のバックアップ機能

原子炉制御室

多様化設備

原子炉制御室
手動
操作

警報

手動
操作

手動
操作

指示計

：アイソレータ：デジタル安全保護回路：多様化設備：追加が必要な機能
設定値比較機能
論理演算機能（ATWS）

設定値比較機能
論理演算機能切替回路

高圧注入ポンプ等

代替制御棒挿入機能等
重大事故等対処設備

デジタル安全保護回路

添付図 1－1 多様化設備の系統構成概略例（ABWR）
添付表 1－1 において，※1 及び※2 で示した機能は，安全保護回路及び重大事故等対処設備で実現される機能であり，デジタル安全保護回路とは多様性を有した機能である。また,※3 は，自主対策として既に設置済の機能であり，デジタル安全保護回路とは多様性を有した機能である。
運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳した事象の発生を認知できる警報として,添付表 1-1 の赤字で示す警報機能（添付図 1-1 に黄色で示す範囲）
を追加する。

33©Atomic Energy Association 2020

また，PWR の多様化設備の機能例を添付表 1-2 に，系統構成概略例を添付図 1-2 に示す。
添付表 1-2 多様化設備の機能例（PWR）
自動緩和機能※1

止める

冷やす

閉じ込める

手動緩和機能※2
・原子炉トリップ ・原子炉トリップ
・タービントリッ ・タービントリップ
プ※3・補助給水起動※3 ・補助給水隔離／
・高圧／低圧注入
流量調節
系起動
・高圧注入系起動・主給水隔離・主給水隔離・主蒸気隔離※3・主蒸気隔離・格納容器隔離指示機能※2

警報機能※1・中間領域中性子束・加圧器圧力・1 次冷却材圧力
・1 次冷却材低温側温度（広域）・加圧器水位・主蒸気ライン圧力・蒸気発生器水位（狭域）
・格納容器圧力・蒸気発生器 2 次側放射線・対象補機の状態

・多様化設備作動
・加圧器圧力低（原子炉トリップ等）・加圧器圧力高（原子炉トリップ等）・蒸気発生器水位低（原子炉トリップ等）
・蒸気発生器水位異常
高・ 加 圧器 圧力 異 常低
（高圧／低圧注入
系作動）※1：デジタル安全保護回路とは別の多様性を有した設備で実現する。
※2：デジタル安全保護回路を経由しない，既設のハードウェア操作器や指示計等を流用する場合もある。
※3：新規制基準施行後は，重大事故等対処設備として扱っている。
赤字：追加が必要な機能
黒字：既設のバックアップ機能
原子炉制御室手動操作：アイソレータ
手動操作

指示計：デジタル安全保護回路

警報：多様化設備：追加が必要な機能

設定値比較機能
論理演算機能設定値比較機能
論理演算機能高圧注入ポンプ等

出力回路

添付図 1-2 多様化設備の系統構成概略例（PWR）
運転時の異常な過渡変化及び設計基準事故の全事象に対し，ソフトウェア CCF 影響緩和
対策を講じるにあたり，大中破断 LOCA への対応として，添付表 1-2 の赤字で示す自動緩和
機能と警報機能（添付図 1-2 に黄色で示す範囲）を追加する。
自動作動機能の設定値比較等は，デジタル安全保護回路とは多様性を有した設備で実現する。また，安全保護回路のデジタル化の範囲に応じて，デジタル安全保護回路を経由しない，既設のハードウェア操作器，指示計等を流用する場合もある。

34©Atomic Energy Association 2020

添付書類 2
有効性評価における評価対象事象のグルーピングの考え方＜BWR のグルーピングの例＞「原子炉停止」，「炉心冷却」及び「放射性物質閉じ込め」の基本的安全機能別に事象のグルーピングの考え方を整理すると以下のとおりとなる。
（原子炉停止）原子炉緊急停止系のバックアップとしての代替制御棒挿入機能（ARI）は，ハードワイヤ
ードであり，原子炉圧力高信号又は原子炉水位低信号により自動作動する。したがって，運
転時の異常な過渡変化又は設計基準事故の隔離事象及び非隔離事象については，いずれかの信号によりスクラムすることとなる。一方で，部分的な出力上昇であり，初期の炉心挙動が大幅に変動しない事象（制御棒の異常な引き抜き，制御棒落下）については，ARI 自動作
動に期待することができない。また，制御棒の異常な引き抜き及び制御棒落下は燃料のエンタルピーを判断基準に用いているのに対し，それ以外の事象では燃料被覆管最高温度（PCT）
を判断基準に用いており，着眼点が全く異なる。
したがって，評価対象とする事象は，反応度の異常な変化又は投入事象とそれ以外の事象の 2 種類に大別することができる。
反応度の異常な変化又は投入事象である，制御棒の異常な引き抜き及び制御棒落下は，引き抜き速度（落下速度）及び反応度価値の違いを考慮し，これらも各々グルーピングできる。
（炉心冷却）
初期の原子炉水位低下速度及び初期注水のタイミングが燃料のヒートアップに大きく影響するため，原子炉内の保有水が流出し，初期の原子炉水位低下速度が極めて早い原子炉冷却材喪失事象（LOCA）と LOCA 以外の事象では事象進展が大きく異なる。したがって，評価対象とする事象は，LOCA と LOCA 以外の 2 種類に大別することができる。
（放射性物質閉じ込め）
放射性物質閉じ込め機能に係る事象は，環境への放射性物質の異常な放出及び原子炉格
納容器内圧力，雰囲気等の異常な変化があるが，いずれも以下のとおり定性的な評価が可能である。
－環境への放射性物質の異常な放出
燃料集合体の落下等は，それら事故の影響の拡大は限定的であり（事故発生以降の放出イ
ンベントリの増加はない），ソフトウェア CCF により放射能放出抑制機能が低下しても，それ以上の影響の拡大には至らず，概ね判断基準を満たすと判断できる場合【放射性気体廃棄物処理施設の破損，主蒸気管破断，燃料集合体の落下，原子炉冷却材喪失，制御棒落下】35©Atomic Energy Association 2020

－原子炉格納容器内圧力，雰囲気等の異常な変化
原子炉格納容器内圧力，雰囲気等の異常な変化に挙げられる事象は，評価の着眼点が安全
保護回路及び工学的安全施設の自動起動ではなく，事故後長期における運転員による手動起動（格納容器スプレイ手動起動，可燃性ガス処理系（FCS）手動起動等）及び当該の系統能力の確認並びに格納容器に掛かる荷重に対する耐性の確認（動荷重の発生）が主眼となる事象であり，ソフトウェア CCF による影響が小さく，概ね判断基準を満たすと判断できる場
合【原子炉冷却材喪失，可燃性ガスの発生，動荷重の発生】（本頁以下余白）36©Atomic Energy Association 2020

参考書類 1
第1回

NRA 検討チーム公開会合（2019 年 10 月 30 日開催）資料

1．開催日 2019 年 10 月 30 日
2．ATENA が提示した会合資料は以下のとおり。

参考-1©Atomic Energy Association 2020

参考-2
©Atomic Energy Association 2020

参考-3
©Atomic Energy Association 2020

参考書類 2
第3回

NRA 検討チーム公開会合（2019 年 12 月 4 日開催）資料

1．開催日 2019 年 12 月 4 日
2．ATENA が提示した会合資料は以下のとおり。
（資料 2-1）

参考-4©Atomic Energy Association 2020

参考-5
©Atomic Energy Association 2020

参考-6
©Atomic Energy Association 2020

（資料 2-2）

参考-7©Atomic Energy Association 2020

（資料 2-3）

参考-8©Atomic Energy Association 2020

参考-9
©Atomic Energy Association 2020

参考-10©Atomic Energy Association 2020

参考書類 3
第4回

NRA 検討チーム公開会合（2020 年 1 月 29 日開催）資料

1．開催日 2020 年 1 月 29 日
2．ATENA が提示した会合資料は以下のとおり。

参考-11©Atomic Energy Association 2020

参考-12©Atomic Energy Association 2020

参考-13©Atomic Energy Association 2020

参考-14©Atomic Energy Association 2020

参考-15©Atomic Energy Association 2020

参考-16©Atomic Energy Association 2020

参考-17©Atomic Energy Association 2020

参考-18©Atomic Energy Association 2020

参考-19©Atomic Energy Association 2020

発行者

：原子力エネルギー協議会

問合せ先：contact@atena-j.jp